Geekom Removes Asruex Backdoor from Mini PC Drivers

Geekom hat einen Malware-Fund in einem herunterladbaren Treiberarchiv für mehrere Mini-PC-Modelle bestätigt und die betroffene Datei inzwischen entfernt. In dem Paket steckte eine Backdoor-Variante (Asruex), die über eine veraltete Support-Seite weiterhin auffindbar blieb, obwohl der Vorfall bereits Ende 2024 bekannt wurde.

Anzeige der Backdoor im LAN-Treiber

Betroffen war ein gemeinsames Treiberarchiv für die Geekom-Modelle A7, A8, AE7, AE8, AX7 Pro und AX8 Pro. Innerhalb des Archivs befand sich im Ordner für den LAN-Treiber eine manipulierte ausführbare Datei mit dem Namen „Install_PCIE_Win11_11.10.0720.2022_11222022.exe“. Mehrere Sicherheitsprüfungen identifizierten darin Varianten der Malware Asruex.

Entdeckt wurde der Fund erneut, nachdem ein Nutzer nach einem SSD-Tausch Windows neu installiert und anschließend das etwa 1,1-GB-Treiberpaket von Geekom heruntergeladen hatte. Die anschließende Untersuchung konnte den Zusammenhang mit dem aktuellen Fund über mehrere Analyseplattformen nachvollziehen; die Erkennungen waren dabei nicht auf eine einzelne Sicherheitslösung beschränkt.

Was das für Spieler und PCs bedeutet

Asruex wird als Backdoor beschrieben: Ein Angreifer kann darüber weitere Dateien nachladen und auf ein kompromittiertes System zugreifen. Auch in der Community war der konkrete Fund bereits Ende Dezember 2024 Thema. Damals berichtete ein Geekom-User, dass Microsoft Defender beim Entpacken des von der Herstellerseite geladenen Pakets „Trojan/Asruex.A“ meldete.

Geekom teilt außerdem mit, dass die betroffene Datei nicht als vorinstallierte Software auf den Mini-PCs vorkam. Die Windows-Installation ab Werk sei nicht betroffen gewesen. Entscheidend ist demnach vor allem, wer das fragliche LAN-Treiberarchiv heruntergeladen und die darin enthaltene Installationsdatei ausgeführt hat.

Geekom identifiziert eine manipulierte ausführbare Datei im LAN-Treiberpaket für mehrere Modelle.
Die Datei enthielt Backdoor-Varianten (Asruex), erkennbar über mehrere Sicherheitschecks.
Die Datei ist inzwischen aus dem verfügbaren Treiberangebot entfernt.
Hersteller weist darauf hin: Ab Werk ist die installierte Windows-Version nicht betroffen.

Plattform-Umfang und Modellliste

Die betroffenen Geräte sind: Geekom A7, A8, AE7, AE8, AX7 Pro und AX8 Pro. Laut Geekom liegt der Vorfall ausschließlich im herunterladbaren Treiberarchiv vor; wer eines der genannten Modelle besitzt, ist damit nicht automatisch infiziert.

Der Hersteller beschreibt zudem, dass die veraltete Support-Seite über normale Navigation nicht mehr erreichbar gewesen sei. Suchmaschinen hätten die Seite jedoch weiterhin indexiert und Nutzern als Ergebnis angeboten.

Schritte von Geekom und was als Nächstes gilt

Nachdem der Fund öffentlich gemacht worden war, bestätigte Geekom den Vorfall und entschuldigte sich bei den Nutzern. Der Hersteller habe die aktuell angebotenen Treiber überprüft und dort keine vergleichbaren Auffälligkeiten gefunden. Betroffene Dateien und die veralteten Seiten würden entfernt, außerdem will Geekom seine Prüf- und Verwaltungsprozesse verschärfen.

Zur Empfehlung an Nutzer: Wer das betroffene LAN-Paket geladen hat, soll die Installationsdatei löschen und das System vollständig mit Microsoft Defender oder einer anderen Sicherheitslösung untersuchen. Wenn die Datei bereits ausgeführt wurde, rät Geekom zu einer Neuinstallation von Windows anhand eines offiziellen Microsoft-Abbilds. Den Netzwerktreiber sollten Nutzer anschließend über Windows Update, Realtek oder die aktuelle Geekom-Supportseite beziehen.

Ungeklärt ließ Geekom, wie die manipulierte Datei ursprünglich auf die Server gelangte und warum sie trotz früherer Hinweise über mehr als anderthalb Jahre erreichbar blieb. Außerdem bat der Hersteller um das Löschen des ursprünglichen Berichts; die Redaktion lehnte das ab.