AceMagic et le malware préinstallé : AD08, AD15 et S1 (2024)

Il existe une version de cette histoire où AceMagic fait bonne figure. Elle mérite d’être racontée en premier, car elle est réelle. En février 2024, après que des chercheurs indépendants et des YouTubeurs eurent démontré que des mini PC AceMagic AD08, AD15 et S1 flambant neufs arrivaient avec un malware intégré à l’image Windows d’usine, l’entreprise a fait quelque chose d’inhabituel dans cette catégorie : elle a publié une déclaration écrite, nommé les références concernées et assumé sa responsabilité. Dans un secteur où les marques chinoises répondent couramment aux défauts par un simple e-mail poli et un échange discret, « nous avons livré un malware et voici la liste » n’est pas un comportement par défaut. AceMagic l’a fait. The Register a publié la déclaration dans son intégralité, et la phrase qui a le plus retenu l’attention est la suivante : « Pour améliorer le temps de démarrage du logiciel, nos développeurs, sans mon approbation, ont apporté des modifications au logiciel Microsoft. »

Cette phrase marque le point culminant de l’affaire du malware AceMagic. Tout ce qui en découle est moins flatteur.

Ce qui se trouvait réellement sur les machines

Le malware n’avait rien de discret. Selon l’enquête de BleepingComputer, l’image Windows d’usine des unités concernées contenait deux familles distinctes de logiciels voleurs d’identifiants (des variantes identifiées comme Bladabindi et Redline), intégrées de manière à survivre à une configuration normale au premier démarrage. Bladabindi est une porte dérobée de longue date qui exfiltre les identifiants et permet l’accès à distance ; Redline est l’un des infostealers grand public les plus répandus de ces dernières années, conçu pour aspirer les mots de passe des navigateurs, les données de saisie automatique et les fichiers de portefeuilles crypto en quelques minutes d’exécution.

La découverte n’est pas venue du contrôle qualité d’AceMagic. Elle est venue de l’extérieur. Le YouTubeur Jon Bringus et une autre chaîne, The Net Guy Reviews, ont démontré indépendamment des détections sur des unités qu’ils avaient achetées avant toute alerte du fabricant. Au moment où AceMagic a publié sa déclaration, les vidéos étaient déjà publiques et Tom’s Hardware, PCMag et XDA Developers avaient tous relayé l’affaire. La reconnaissance des faits était, en réalité, le deuxième coup joué, pas le premier.

Ce que dit réellement la déclaration, et ce qu’elle ne dit pas

Lue attentivement, l’explication d’AceMagic contient une affirmation précise : le malware serait un effet secondaire de modifications apportées par des développeurs internes à l’image Windows de Microsoft pour « améliorer le temps de démarrage », et cela se serait produit « sans mon approbation » (le « mon » désignant le dirigeant de l’entreprise signataire de la déclaration). Ce cadrage situe la cause à l’intérieur de l’entreprise mais hors du champ de connaissance de la direction, et présente le malware comme la conséquence involontaire d’un travail d’optimisation plutôt que comme une compromission de la chaîne d’approvisionnement.

C’est une histoire bien ficelée. C’est aussi une histoire que le public n’a aucun moyen de vérifier. La déclaration ne nomme pas les développeurs, ne publie pas l’empreinte exacte de l’image d’avant expédition, et n’explique pas comment une banale « optimisation du temps de démarrage » a pu produire un binaire qui exfiltre les identifiants des navigateurs vers un serveur distant, un comportement qui n’a, selon toute lecture honnête, aucun rapport avec l’optimisation du démarrage. The Register a relevé cette lacune poliment ; BleepingComputer l’a fait moins poliment. Aucun des deux médias n’a eu accès à une chronologie forensique.

Il y a un second silence. AceMagic a confirmé que « certaines » unités des AD08, AD15 et S1 étaient concernées, mais la déclaration n’a publié ni plage de numéros de série, ni période de production, ni nombre absolu de machines compromises. Un acheteur ayant acquis l’un de ces modèles fin 2023 ou début 2024 n’a aucun moyen officiel de savoir si son unité était concernée. Les consignes de remédiation (réinstaller Windows depuis une image Microsoft propre) sont correctes, mais ce sont aussi celles que recevrait un propriétaire non concerné, ce qui signifie que le périmètre de l’incident n’est pas celui qu’AceMagic a tracé : il se situe là où les acheteurs ont décidé, chacun de leur côté, de supposer le pire.

À quoi a ressemblé la « remédiation » en pratique

La solution publiée par AceMagic consistait en une réinstallation propre de Windows à partir d’une ISO fournie par Microsoft, assortie de l’assurance que les lots de production suivants avaient été réimagés. C’est la bonne réponse technique face à une image de démarrage infectée. C’est aussi une remédiation qui fait reposer le travail sur le client.

Une réinstallation n’est pas une demande anodine pour l’acheteur type de mini PC. Les AD08, AD15 et S1 se vendent sur un marché qui comprend des particuliers, des déploiements en petit bureau, des exploitants de bornes et d’affichage dynamique, et des achats destinés à être offerts : autant de catégories d’acheteurs qui ont choisi une machine prête à l’emploi précisément pour éviter d’avoir à monter, imager ou configurer une machine Windows de zéro. Pour eux, « télécharger une ISO, créer un support d’installation, effacer le disque, réinstaller, réactiver, restaurer ses données » représente une demi-journée de travail qu’ils n’avaient pas prévue et dont on ne les avait pas avertis au moment de l’achat.

Il n’existe aucune trace publique d’une offre de remboursement, d’extension de garantie ou d’aide à la surveillance de crédit de la part d’AceMagic envers les acheteurs concernés, soit l’ensemble standard de réparations que les fabricants de matériel des marchés réglementés accordent habituellement après un incident confirmé impliquant un voleur d’identifiants. La couverture de PCMag et l’article de XDA ont tous deux souligné cette asymétrie : l’entreprise a assumé sa responsabilité dans les mots, puis a demandé à l’acheteur de faire le ménage dans les faits.

Le mérite, et le prix de ce mérite

AceMagic mérite d’être saluée pour avoir nommé par écrit les modèles concernés et pour ne pas avoir prétendu que le problème venait d’une erreur d’un testeur tiers. Dans une catégorie où la réponse par défaut à un défaut est le silence suivi d’un échange d’unité, cela compte ; c’est la nuance par laquelle cet article s’est ouvert, et elle est sincère.

Le prix, c’est ce que la déclaration ne contenait pas. Pas de chronologie forensique publiée, pas de période de production, pas de nombre d’unités concernées, pas de notification proactive aux acheteurs enregistrés, et aucune offre de surveillance de crédit pour les propriétaires dont les mots de passe de navigateur ont pu être exfiltrés des semaines ou des mois avant la déclaration publique. Un bilan honnête de l’incident du malware AceMagic n’est pas « AceMagic a fait ce qu’il fallait » ; c’est « AceMagic a dit ce qu’il fallait, et les acheteurs ont fait le reste du travail ». Si vous avez acheté un AD08, un AD15 ou un S1 pendant la période concernée sans jamais réinstaller Windows, l’hypothèse prudente, deux ans plus tard, reste qu’il faut changer les identifiants utilisés sur cette machine. C’est la version de l’histoire que la plupart des articles ont refermée sans l’achever, et c’est celle qui mérite de figurer au dossier, à côté des excuses.