Αν έχεις φτάσει σε αυτό το σημείο, το πιθανότερο είναι ότι είδες ήδη ένα βίντεο με τεράστια κέρδη ή έχεις μάθει για το need for slots εφαρμογή καζίνο για κινητό app και διερωτάσαι αν το APK που υπάρχει είναι νόμιμο ή απλά μια προσεγμένη παγίδα. Το ερεύνησα μόνος μου, κατέβασα το αρχείο, το ανέλυσα και πραγματοποίησα ό,τι ακριβώς ακριβώς θα πραγματοποιούσε ένας διστακτικός χρήστης που δεν επιθυμεί να μετατρέψει το κινητό του σε έκθεμα malware. Αυτό που βρήκα με ξάφνιασε γιατί η εικόνα που προβάλλεται στα social media απέχει πολύ από την πραγματικότητα. Δεν αναφερόμαστε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο περίπλοκη και κρύβει πολλές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η δοκιμή μου με την εγκατάσταση του APK
Αυτό που έκανα πρώτα που έκανα ήταν να κατεβάσω το αρχείο από την τοποθεσία που διαφημίζεται εντονότερα στα social media. Δεν χρησιμοποίησα εξωτερικές συνδέσεις, αλλά τον επίσημο ιστότοπο που δηλώνεται ρητά στις προωθήσεις. Το μέγεθος αρχείου του αρχείου ήταν περίπου 80MB, γεγονός που είναι εντελώς αναμενόμενο για μια app που διαθέτει γραφικά υψηλής ανάλυσης και μια λίστα παιχνιδιών. Μόλις μετά τη λήψη, το Android με ειδοποίησε ότι είναι για άγνωστη πηγή, γεγονός λογικό καθώς το APK δεν προέρχεται από το Google Play Store. Σε αυτό το σημείο είναι το αρχικό στάδιο όπου πολλοί χρήστες διστάζουν, και εύλογα. Ενεργοποίησα προσωρινά την εγκατάσταση από εξωτερικές πηγές προσωρινά, αλλά έχοντας πριν αποσυνδέσει τη κινητό μου από το κύριο δίκτυο μου και απενεργοποιήσει προσωρινά όποια εφαρμογή τραπεζικής ή απόρρητων πληροφοριών. Η διαδικασία ολοκληρώθηκε ομαλά, δίχως ύποπτα pop-ups ή απαιτήσεις που να ξεφεύγουν από τα τυπικά. Το εικονίδιο προβλήθηκε γρήγορα στην αρχική οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν εξίσου άμεσο, άνευ υστερήσεις ή λάθη που θα ήταν δυνατόν να υποδεικνύουν επικίνδυνη δράση στο παρασκήνιο.
Ωστόσο, αυτό που με προβλημάτισε είναι ότι η εφαρμογή χρειάστηκε ευθύς αμέσως μια ομάδα από προσβάσεις κατά την πρώτη έναρξη, τα που δεν αιτιολογούνται εύκολα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα, αιτήθηκε άδεια στην τοποθεσία, πράγμα που είναι συχνά ένδειξη για γεωγραφικό φιλτράρισμα, αλλά και για επικίνδυνες δράσεις. Επιπλέον, αιτήθηκε πρόσβαση να ελέγχει την κατάσταση του τηλεφώνου και, σε ύστερο χρόνο, να στέλνει ειδοποιήσεις push ακόμα και όταν η πλατφόρμα δεν είναι ανοιχτή. Αυτή η συμπεριφορά είναι τυπικό για κακόβουλο λογισμικό και για εφαρμογές που θέλουν να επιβλέπουν την δραστηριότητα του ατόμου έξω από της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app κάνει κατάχρηση αυτών των δικαιωμάτων, αλλά η αίτηση τους είναι ένα ξεκάθαρο μειονέκτημα που χρειάζεται να εξεταστεί προσεκτικά. Η δοκιμή μου προχώρησε με την εξερεύνηση στη λίστα παιχνιδιών, η οποία ήταν εντυπωσιακά πλούσια, αλλά αυτό είναι ζήτημα που θα εξετάσω σε επόμενο κεφάλαιο.
Ανάλυση ασφαλείας και βλαβερό λογισμικό
Το επακόλουθο βήμα ήταν να καταθέσω το APK σε online πλατφόρμες ελέγχου κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ανακουφιστικό, καθώς ούτε ένας από τους σημαντικούς antivirus κινητήρες δεν ανίχνευσε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν υποδηλώνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά στηρίζονται σε δείγματα γνωστών απειλών και ένα καινούργιο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Εκεί που συγκεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Διαπίστωσα ότι το Need for Slots app δημιουργεί συνδέσεις προς αρκετούς διακομιστές που δεν σχετίζονται σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που σχετίζονται με affiliate marketing και aggregated data analytics. Αυτό υπονοεί ότι η εφαρμογή κατά πάσα πιθανότητα μαζεύει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.
Πρόσθετα, μελέτησα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά ένδειξη ότι λειτουργούν διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που διεξήγαγα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια συμπεριφορά που κατατάσσει την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός απλού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώρηση στο Google Play Store στερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Προέλευση και ψηφιακή υπογραφή του αρχείου
Ένα από τα πιο σημαντικά θέματα που μελέτησα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι σύνηθες για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, θα βρεις ορισμένα βήματα που πρέπει υποχρεωτικά να ακολουθήσεις για να περιορίσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην χρησιμοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια τακτική που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να φτιάξεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην παραχωρήσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απόλυτα απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ενοχλητικές ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να σκανάρεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα απατηλή ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που εμφανίζεται στις διαφημίσεις.
Εξέταση των προνομίων που ζητά η εφαρμογή
Αφού τελείωσε η εγκατάσταση, ξόδεψα χρόνο για να ελέγξω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσα από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να γράφει αρχεία σε κοινούς φακέλους. Αυτό σημαίνει ότι μπορεί θεωρητικά να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να μεταφέρει αυτά τα δεδομένα σε εξ αποστάσεως διακομιστές. Δεν βρήκα αποδείξεις ότι συμβαίνει κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι ικανή για να εγείρει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή απαιτεί “read phone state”, που εμπεριέχει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι λογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το ζήτημα είναι η απουσία διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται καμία πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να οδηγεί σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης παρέχει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Σύγκριση με αντίστοιχες εφαρμογές κοινωνικών καζίνο
Για να διαθέτω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο γνωστές εφαρμογές κοινωνικών καζίνο που είναι προσβάσιμες στο Google Play Store, όπως είναι το Slotomania και το House of Fun. Η απόκλιση είναι χαοτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από ισχυρές εταιρείες, διαθέτουν αναλυτικές πολιτικές απορρήτου, και το πιο βασικό, δεν ζητούν ποτέ άδειες που υπερβαίνουν τα απόλυτα απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, φαίνεται να λειτουργεί σε μια αμφίβολη ζώνη, παρέχοντας μια εμπειρία που απομιμείται το κανονικό online καζίνο, αλλά χωρίς το ρυθμιστικό πλαίσιο και τους εποπτείες που επιβάλλονται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια ξεκάθαρη έλλειψη επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα σύστημα γονικού ελέγχου ή φραγμού πρόσβασης για ανηλίκους, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Επίσης, οι συστήματα τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον ανεξάρτητο οργανισμό, στοιχείο που είναι στάνταρ στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτόματα κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την αρχική εκκίνηση, αλλά ούτε και μια εφαρμογή που καλύπτει τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα έμπιστο προϊόν. Το δεδομένο ότι παρέχεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν είναι καλά. Δεν υφίσταται κανένας λόγος για μια νόμιμη εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια υπηρεσία που έχει δημιουργηθεί για να μαζεύει δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια αυταπάτη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι διατεθειμένος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ανεξάρτητη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε δύνασαι να το ελέγξεις με σχετική ασφάλεια. Δεν συμβουλεύω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η στέρηση διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με ωθούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια υπηρεσία που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.