积核官网驱动藏偷密码木马，潜伏一年半才被发现：6款AMD迷你主机中招，出厂机器不用慌，重装过系统先做3件事

源自40位全网作者

01:25

喜欢折腾的朋友应该都听过一句话：驱动要去官网下。重装系统、网卡不认，去官网把驱动下回来，是咱们这种人的基本常识。可这条常识，最近被迷你主机厂商积核（GEEKOM）翻了车：他家官网上的一个网卡驱动，被查出植入了偷密码的后门木马，而且已经在站上安安静静躺了一年多。8月22日，国内媒体开始跟进报道，知乎上也出现了相关提问，不少AMD迷你主机用户开始慌。先别急，这篇说说到底谁需要慌、该做什么。

先说积核是谁

不熟的朋友先补个背景：积核（GEEKOM）是一家主打海外市场的国产迷你主机厂商，产品线覆盖AMD和Intel两个平台，AMD这边有A系列、AE系列、AX系列等多款机型，这次出问题的正是这些AMD机型的驱动页面。

事情经过

时间线不复杂：

8月15日，海外用户率先报告，积核为多款AMD迷你电脑提供的官方驱动压缩包存在安全隐患，中招的型号不止一款。今日头条
8月18日，安全研究员@blackorbird自查披露，积核官网一处遗留的旧驱动下载页面上，AMD机型的网卡驱动安装包被植入了Asruex后门木马。微博
同日，积核发布安全公告，承认官网存在有风险的过时LAN驱动资源，但强调硬件出厂预装的驱动和系统、官网最新页面的驱动不存在安全问题。今日头条
8月22日，事件在国内发酵，媒体报道称该恶意文件被搜索引擎公开索引，潜伏时间超过一年半。微博

到底影响了谁

这是最容易被误读的一点：这不是“积核迷你主机出厂就带毒”。官方公告和研究员的披露口径一致，污染只发生在“旧支持页面”上的那个驱动安装包里。这个页面已经从官网导航里移除，但此前能被搜索引擎抓取索引，用户搜驱动时有可能跳转到它，下到带毒的包。微博

所以人群可以分三类：

买来直接用的，从没自己动手去积核官网下过驱动——不受影响，不用慌。
手里是A7、A8、AE7、AE8、AX7 Pro、AX8 Pro这6款之一，且曾经从积核官网下载过驱动（尤其是网卡驱动），比如重装过系统的——这是重点自查对象，带毒页面被索引了一年多，这期间下载都有风险窗口。
其他品牌迷你主机用户——暂时不直接受影响，但这事的教训值得看，后面说。

Asruex有多可怕

Asruex这个名字很多人陌生，简单说：它不是那种加密文件勒索你花钱的木马，而是“安静”型的——带键盘记录、偷密码能力的后门。微博这类木马要的不是你的文件，而是你的账号：你在这台机器上敲进去的NAS管理密码、软路由SSH密码、邮箱口令，乃至购物支付相关的密码，都可能被记录。再加上后门属性意味着可被远程操控，如果真在机器上驻留很久，风险就不止“泄一个密码”。

不过也不必过度恐慌。目前积核和第三方都给不出“到底多少用户下载过带毒包”的数据，官方也未披露；恶意文件本身已经下架删除。上面第2类朋友，认真按下面的自查清单做一遍即可。

积核用户现在该做什么

如果你（或曾经）是积核用户，按这个顺序来：

先回忆：有没有从积核官网下载过驱动，特别是网卡驱动？确定没有，基本可以放心。
下载过的，做一次全盘杀毒扫描。Windows Defender全盘扫描就够用，平时用第三方杀软的，更新病毒库后再扫。
改密码。优先级：重装系统后在这台机器上输入过的重要服务密码——NAS和路由器管理页、邮箱、购物支付相关；多站点复用同一密码的，一并改掉。
观察异常：网络流量莫名变大、杀软频繁告警、出现陌生进程。如果扫描真查出了问题，处理完之后建议干脆格式化重装，一次到位。

迷你主机玩家能带走的三个教训

积核不是第一个在“官网维护”上翻车的迷你主机厂商，大概率也不是最后一个。这类品牌普遍体量不大、主做海外、官网运维人手有限，旧页面放养几年并不罕见。这次的教训，所有迷你主机用户都适用：

“官网=安全”只对了一半。可靠的是“官网当前维护的官方页面”，长期无人打理的旧页面、遗留链接、被搜索引擎收录的历史入口，都可能成为带毒通道。以后下驱动，尽量从官网当前产品页进入，或者干脆走Windows Update。
杀毒软件报警、驱动文件签名异常时，立刻停手，别抱“官网不会错”的侥幸继续装。
迷你主机拿来做NAS、软路由、重要存储的，建议养成两个习惯：重装系统后统一改一次密码；能开两步验证的服务尽量开。账号被偷这类事，两步验证能挡掉绝大部分实际损失。