这个故事有一个让 AceMagic 显得不错的版本。值得先讲这个版本，因为它是真实的。2024 年 2 月，在独立研究人员和 YouTuber 证明全新的 AceMagic AD08、AD15 和 S1 迷你主机到手时出厂 Windows 镜像里就嵌有恶意软件之后，这家公司做了一件在这个品类里并不常见的事：它发布了书面声明，点名了受影响的型号，并承担了责任。在一个中国品牌面对缺陷通常只回一封客气的邮件、再悄悄换个货的行业里，“我们出货的产品带有恶意软件，这是型号清单”并不是默认做法。AceMagic 做到了。The Register 全文刊登了这份声明，其中最受关注的一句是：“为了提升软件的启动速度，我们的开发人员在未经我批准的情况下，对微软软件进行了修改。”

这句话是 AceMagic 恶意软件事件中的最高点。之后的一切都没那么体面了。

机器上到底有什么

这些恶意软件并不隐蔽。据 BleepingComputer 的报道，受影响机器的出厂 Windows 镜像中包含两个不同的窃取凭据的恶意软件家族（变种被识别为 Bladabindi 和 Redline），其植入方式可以在正常的首次开机设置后依然存活。Bladabindi 是一个长期活跃的后门，能窃取凭据并支持远程访问；Redline 是近几年最泛滥的商品化信息窃取程序之一，运行后几分钟内就能搜刮浏览器密码、自动填充数据和加密货币钱包文件。

这一发现并非来自 AceMagic 自己的质检，而是来自外部。YouTuber Jon Bringus 和另一个频道 The Net Guy Reviews 在任何厂商公告发布之前，就分别在他们购买的机器上演示了检测结果。等到 AceMagic 发布声明时，这些视频早已公开，Tom’s Hardware、PCMag 和 XDA Developers 也都已经报道了此事。实际上，承认是第二步，而不是第一步。

声明说了什么，没说什么

仔细阅读，AceMagic 的解释包含一个具体说法：恶意软件是公司内部开发人员为”提升启动速度”修改微软 Windows 镜像的副作用，而且这件事是”在未经我批准的情况下”发生的（“我”指签署声明的公司负责人）。这种表述把原因放在了公司内部，却又放在了高管的知情范围之外，并把恶意软件重新包装成优化工作的意外后果，而不是供应链被攻破。

这是一个干净利落的故事，也是一个公众无从核实的故事。声明没有点名开发人员，没有公布出货前镜像的确切哈希值，也没有解释一次例行的”启动速度优化”怎么会产出一个把浏览器凭据外传到远程服务器的程序。无论怎么诚实地解读，这种行为都和启动性能优化扯不上关系。The Register 委婉地指出了这一漏洞；BleepingComputer 则说得没那么客气。两家媒体都没有拿到取证时间线。

还有第二处沉默。AceMagic 证实 AD08、AD15 和 S1 中有”部分”机器受到影响，但声明没有公布序列号范围、生产日期区间，也没有给出被感染机器的具体数量。在 2023 年底或 2024 年初购买过这些型号的买家，无法通过厂商渠道确认自己手上的机器是否在影响范围内。补救建议（用干净的微软镜像重装 Windows）是正确的，但它也正是一位未受影响的用户会得到的同样建议。这意味着事件的边界并不在 AceMagic 划定的地方，而是在每个买家各自决定做最坏打算的地方。

“补救”在实践中是什么样子

AceMagic 公布的修复方法是用微软官方 ISO 干净重装 Windows，并保证后续生产批次已重新制作镜像。对于被感染的启动镜像，这是正确的技术答案。但这也是一种把劳动转嫁给客户的补救方式。

对典型的迷你主机买家来说，重装系统并不是一个小要求。AD08、AD15 和 S1 的目标市场包括家庭用户、小型办公室部署、自助终端和数字标牌运营商，以及礼品购买者：这些买家之所以选择品牌整机，恰恰是为了避免从零开始组装、制作镜像或配置 Windows 电脑。对他们来说，“下载 ISO、制作安装介质、清空硬盘、重装系统、重新激活、恢复数据”是半天的工作量，他们没有预留这个时间，购买时也没有人提醒过他们。

没有公开记录显示 AceMagic 向受影响的买家提供过退款、延长保修或信用监控协助，而这些正是受监管市场中的硬件厂商在确认凭据窃取事件后通常会提供的标准补救组合。PCMag 的报道和 XDA 的报道都指出了这种不对等：公司在措辞上承担了责任，在实践中却要求买家自己收拾残局。

值得肯定之处，以及它的代价

AceMagic 以书面形式点名受影响型号，没有假装问题是第三方评测者的失误，这值得肯定。在一个面对缺陷的默认反应是先沉默、再换货的品类里，这一点很重要；这正是本文开头提到的那层细微之处，而且它是真实的。

代价在于声明中缺失的内容。没有公布取证时间线，没有生产日期区间，没有受影响机器数量，没有主动通知已登记的买家，也没有为那些浏览器密码可能在公开声明前数周甚至数月就已被窃取的用户提供信用监控。对 AceMagic 恶意软件事件的公正评价不是”AceMagic 做了正确的事”，而是”AceMagic 说了正确的话，剩下的工作都由买家完成”。如果你在受影响时间段内购买了 AD08、AD15 或 S1，且从未重装过 Windows，那么即便两年过去了，稳妥的做法仍然是假定这台机器上的凭据都需要更换。大多数报道没有讲完这个版本的故事，而它理应和那份道歉一起被记录在案。