Σε περίπτωση που έχεις φτάσει σε αυτό το μέρος, το πιθανότερο είναι να έχεις ήδη δει ένα βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και αναρωτιέσαι αν το APK που διακινείται είναι κανονικό ή απλώς μια καλοστημένη παγίδα https://needforslotscasino.com.gr/app/. Το εξέτασα ο ίδιος, κατέβασα το αρχείο, το εξέτασα και έκανα ό,τι ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν επιθυμεί να κάνει το κινητό του σε βιτρίνα malware. Το γεγονός που ανακάλυψα με εντύπωσε γιατί η εικόνα που προβάλλεται στα social media απέχει σημαντικά από την πραγματικότητα. Δεν συζητάμε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Ωστόσο, η αλήθεια είναι πιο περίπλοκη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και δίχως να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η δοκιμή μου με την εγκατάσταση του APK του APK
Το πρώτο πράγμα που έκανα ήταν να λήψω το αρχείο από την τοποθεσία που προβάλλεται συχνότερα στα social media. Δεν αξιοποίησα τρίτους συνδέσμους, αλλά τον κεντρικό ιστότοπο που αναφέρεται ρητά στις διαφημίσεις. Το όγκο του αρχείου ήταν περίπου 80MB, πράγμα που είναι απολύτως συνηθισμένο για μια εφαρμογή που ενσωματώνει γραφικά υψηλής ανάλυσης και μια λίστα παιχνιδιών. Ευθύς αμέσως μετά τη λήψη αρχείου, το Android με ειδοποίησε ότι αποτελεί για άγνωστη προέλευση, γεγονός λογικό καθώς το APK δεν λαμβάνεται από το Google Play Store. Εδώ είναι το αρχικό στάδιο όπου διάφοροι χρήστες παγώνουν, και δικαίως. Ενεργοποίησα την εγκατάσταση από μη ασφαλείς πηγές για λίγο, έχοντας προηγουμένως εκ των προτέρων αποκλείσει τη συσκευή μου από το βασικό μου δίκτυο και απενεργοποιήσει προσωρινά όποια app τράπεζας ή απόρρητων πληροφοριών. Η διαδικασία ολοκληρώθηκε ομαλά και χωρίς προβλήματα, άνευ ύποπτα pop-ups ή αιτήματα που να διαφέρουν από τα κανονικά. Το σύμβολο προβλήθηκε αμέσως στην αρχική οθόνη και το άνοιγμα της εφαρμογής ήταν εξίσου άμεσο, άνευ αργοπορίες ή λάθη που θα ενδέχεται να υποδηλώνουν κακόβουλη συμπεριφορά στο παρασκήνιο της συσκευής.
Ωστόσο, το σημείο που με απασχόλησε είναι ότι η εφαρμογή χρειάστηκε αμέσως μια λίστα από άδειες κατά την πρώτη έναρξη, τα που δεν αιτιολογούνται απλά για ένα παιχνίδι καζίνο. Για παράδειγμα χάριν, ζήτησε πρόσβαση στην τοποθεσία μου, πράγμα που είναι συχνά ένδειξη για γεωγραφικό περιορισμό, αλλά και για επικίνδυνες δράσεις. Ακόμα, απαίτησε δικαίωμα να ελέγχει την κατάσταση του τηλεφώνου και, σε επόμενο βήμα, να στέλνει ενημερώσεις ακόμα κι όταν η app δεν είναι σε λειτουργία. Αυτό το πρότυπο είναι συνηθισμένο για κακόβουλο λογισμικό και για εφαρμογές που σκοπεύουν να επιβλέπουν την συμπεριφορά του χρήστη μακριά από της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app κάνει κατάχρηση αυτών των δικαιωμάτων, αλλά η ζήτηση τους είναι ένα προφανές αρνητικό που χρειάζεται να ληφθεί σοβαρά υπόψη. Η δοκιμή μου συνεχίστηκε με την περιήγηση στη λίστα παιχνιδιών, η όποια ήταν εντυπωσιακά πλούσια, αλλά αυτό είναι ζήτημα που θα αναπτύξω σε άλλη ενότητα.
Εξέταση ασφαλείας και βλαβερό λογισμικό
Το αμέσως επόμενο βήμα ήταν να υποβάλω το APK σε ηλεκτρονικές πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το αποτέλεσμα ήταν εν μέρει ανακουφιστικό, καθώς μηδέν από τους σημαντικούς antivirus κινητήρες δεν εντόπισε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Εντούτοις, αυτό δεν συνεπάγεται ότι το αρχείο είναι απόλυτα “καθαρό”. Οι συστήματα ανίχνευσης συχνά στηρίζονται σε αποτυπώματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Στο σημείο που συγκεντρώθηκα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app καθιερώνει συνδέσεις προς αρκετούς διακομιστές που δεν υπάγονται σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε υπηρεσίες που συνδέονται με affiliate marketing και aggregated data analytics. Αυτό υπονοεί ότι η εφαρμογή μάλλον μαζεύει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για προωθητικούς σκοπούς.
Πρόσθετα, ανέλυσα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι τρέχουν διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που έκανα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και παρατήρησα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια συμπεριφορά που κατατάσσει την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός αγνού παιχνιδιού. Το γεγονός ότι δεν υπάρχει επίσημη εγγραφή στο Google Play Store στερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ατομική κρίση.
Σύγκριση παρεμφερείς εφαρμογές social καζίνο
Για να αποκτήσω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο γνωστές εφαρμογές social καζίνο που είναι προσβάσιμες στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η απόκλιση είναι τεράστια. Αυτές οι εφαρμογές είναι υποστηριζόμενες από μεγάλες εταιρείες, παρέχουν πλήρεις πολιτικές απορρήτου, και το πιο βασικό, δεν αιτούνται ποτέ άδειες που είναι πέρα από τα εντελώς απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την αντίθετη πλευρά, μοιάζει να λειτουργεί σε μια αμφίβολη ζώνη, παρουσιάζοντας μια εμπειρία που απομιμείται το πραγματικό online καζίνο, αλλά χωρίς το θεσμικό πλαίσιο και τους εποπτείες που επιβάλλονται από τις νόμιμες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά υποδεικνύει μια εμφανή στέρηση επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με ξάφνιασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει οποιοδήποτε σύστημα γονεϊκού ελέγχου ή φραγμού εισόδου για ανήλικους χρήστες, σε αντιδιαστολή με τις συναφείς εφαρμογές του Play Store που περιλαμβάνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον αμερόληπτο οργανισμό, πράγμα που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε διατηρήσει δεσμευμένο. Από την σκοπιά ενός ειδικού, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτομάτως επικίνδυνη, αλλά αναμφίβολα την κατατάσσει σε μια κατηγορία που απαιτεί ενισχυμένης προσοχής.
Προέλευση και ηλεκτρονική υπογραφή του πακέτου
Ένα από τα εξαιρετικά σημαντικά θέματα που εξέτασα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι χρειάζεται να ελέγξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν ορισμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να περιορίσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια τακτική που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να εξετάσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να ακυρώσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να τοποθετήσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που εμφανίζεται στις διαφημίσεις.
Ανάλυση των αδειών που ζητά η εφαρμογή
Αφού έγινε η εγκατάσταση, διέθεσα χρόνο για να αναλύσω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία επιτρέπει στην εφαρμογή να βλέπει και να δημιουργεί αρχεία σε κοινούς φακέλους. Αυτό υποδηλώνει ότι έχει τη δυνατότητα θεωρητικά να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε εξ αποστάσεως διακομιστές. Δεν βρήκα αποδείξεις ότι γίνεται κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε κάθε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή ζητά “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Αντιθέτως, πρέπει να είμαι αμερόληπτος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι κοινά σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι εύλογο να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το ζήτημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει μια πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε ένα κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Οριστική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από όλη ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια πλατφόρμα που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα ασφαλές προϊόν. Το στοιχείο ότι παρέχεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν είναι καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν δύναται να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια εφαρμογή που έχει δημιουργηθεί για να αποκτά δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι πρόθυμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε μπορείς να το πειραματιστείς με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν αξιοποιείς εφαρμογές mobile banking. Η απουσία διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με ωθούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια υπηρεσία που βασίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, κράτα το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.