Σε περίπτωση που βρίσκεσαι σε αυτό το στάδιο, το πιο πιθανό είναι πως έχεις δει ένα βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και αναρωτιέσαι αν το APK που κυκλοφορεί είναι νόμιμο ή απλά μια καλοστημένη παγίδα. Το ερεύνησα μόνος μου, κατέβασα το αρχείο, το μελέτησα και έκανα ό,τι ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν επιθυμεί να κάνει το κινητό του σε έκθεμα malware. Το γεγονός που ανακάλυψα με εντύπωσε γιατί η εικόνα που παρουσιάζεται στα social media απέχει παρασάγγας από την πραγματικότητα. Δεν συζητάμε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται είσοδο σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του λέει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο περίπλοκη και κρύβει πολλές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Μελέτη των προνομίων που αιτείται η εφαρμογή
Όταν τελείωσε η εγκατάσταση, διέθεσα χρόνο για να αναλύσω λεπτομερώς τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να αποθηκεύει αρχεία σε κοινόχρηστους φακέλους. Αυτό υποδηλώνει ότι μπορεί θεωρητικά να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υφίσταται η τεχνική δυνατότητα να ανεβάζει αυτά τα δεδομένα σε μακρινούς διακομιστές. Δεν βρήκα στοιχεία ότι συμβαίνει κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε οποιοδήποτε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή αιτείται “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι φυσιολογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν παρουσιάζεται καμία πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Αντιπαραβολή αντίστοιχες εφαρμογές social καζίνο
Για να αποκτήσω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο δημοφιλείς εφαρμογές social καζίνο που είναι διαθέσιμες στο Google Play Store, όπως το Slotomania και το House of Fun. Η διαφορά είναι χαοτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από ισχυρές εταιρείες, διαθέτουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο σημαντικό, δεν απαιτούν ποτέ άδειες που είναι πέρα από τα εντελώς απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, δείχνει να κινείται σε μια γκρίζα ζώνη, παρουσιάζοντας μια αίσθηση που μιμείται το αυθεντικό online καζίνο, αλλά δίχως το κανονιστικό πλαίσιο και τους περιορισμούς που απαιτούνται από τις επίσημες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την προστασία της συσκευής σου, αλλά καταδεικνύει μια ξεκάθαρη έλλειψη επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει οποιοδήποτε σύστημα γονικού ελέγχου ή περιορισμού πρόσβασης για ανήλικους χρήστες, σε αντιδιαστολή με τις παρόμοιες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον ανεξάρτητο οργανισμό, πράγμα που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε διατηρήσει δεσμευμένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα επικίνδυνη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Προέλευση και ηλεκτρονική υπογραφή του προγράμματος
Ένα από τα εξαιρετικά κρίσιμα θέματα που εξέτασα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αναφέρεται σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, θα βρεις ορισμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το αρχικό και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, παρακάμπτοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι εντελώς απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, πήγαινε στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να θυμάσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app λειτουργεί, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που προβάλλεται στις διαφημίσεις.
Ανάλυση ασφαλείας και βλαβερό λογισμικό
Το επακόλουθο βήμα ήταν να στείλω το APK σε διαδικτυακές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal https://needforslotscasino.com.gr/app/. Το συμπέρασμα ήταν εν μέρει καθησυχαστικό, καθώς μηδέν από τους μεγάλους antivirus κινητήρες δεν ανακάλυψε κάποιο γνωστό trojan, ransomware ή spyware. Εντούτοις, αυτό δεν συνεπάγεται ότι το αρχείο είναι απόλυτα “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά εδράζονται σε δείγματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Εκεί που εστίασα περισσότερο ήταν στην μελέτη της συμπεριφοράς του κώδικα. Διαπίστωσα ότι το Need for Slots app καθιερώνει συνδέσεις προς διάφορους διακομιστές που δεν ανήκουν σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε υπηρεσίες που αφορούν με affiliate marketing και aggregated data analytics. Αυτό υποδηλώνει ότι η εφαρμογή πιθανότατα συγκεντρώνει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.
Επιπλέον, ανέλυσα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά σημάδι ότι εκτελούνται διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που πραγματοποίησα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια στάση που τοποθετεί την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το δεδομένο ότι δεν υπάρχει επίσημη καταχώριση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Η προσωπική μου εμπειρία με την εγκατάσταση της εφαρμογής του APK
Αυτό που έκανα πρώτα που έκανα ήταν να λήψω το αρχείο από την πηγή που διαφημίζεται περισσότερο στα social media. Δεν επέλεξα άλλες πηγές, αλλά τον κεντρικό ιστότοπο που δηλώνεται ξεκάθαρα στις προωθήσεις. Το μέγεθος του αρχείου ήταν γύρω στα 80MB, κάτι που είναι εντελώς φυσιολογικό για μια πλατφόρμα που διαθέτει υψηλής ευκρίνειας γραφικά και μια βιβλιοθήκη παιχνιδιών. Ευθύς αμέσως μετά τη λήψη, το Android με ενημέρωσε ότι πρόκειται για άγνωστη προέλευση, πράγμα φυσιολογικό επειδή το APK δεν προέρχεται από το Google Play Store. Αυτό είναι το πρώτο βήμα όπου διάφοροι χρήστες διστάζουν, και δικαίως. Ενεργοποίησα την εγκατάσταση από άγνωστες πηγές για λίγο, έχοντας προηγουμένως πριν απομονώσει τη κινητό μου από το κύριο δίκτυο μου και απενεργοποιήσει όποια εφαρμογή τραπεζικής ή απόρρητων πληροφοριών. Η εγκατάσταση έγινε χωρίς εμπόδια, δίχως αμφίβολες ειδοποιήσεις ή αιτήματα που να διαφέρουν από τα κανονικά. Το εικονίδιο της εφαρμογής προβλήθηκε γρήγορα στην αρχική οθόνη και το εκκίνηση της εφαρμογής ήταν εξίσου άμεσο, χωρίς καθυστερήσεις ή σφάλματα που θα μπορούσαν να υποδεικνύουν ύποπτη λειτουργία στο παρασκήνιο.
Εντούτοις, αυτό που με προβλημάτισε είναι ότι η εφαρμογή ζήτησε ευθύς αμέσως μια ομάδα από άδειες κατά την πρώτη έναρξη, τα που δεν εξηγούνται άμεσα για ένα social casino παιχνίδι. Για παράδειγμα χάριν, ζήτησε πρόσβαση στην τοποθεσία μου, κάτι που είναι συχνά ένδειξη για γεωγραφικό φιλτράρισμα, αλλά και για πιο ύποπτες δραστηριότητες. Επιπλέον, αιτήθηκε πρόσβαση να διαβάζει την κατάσταση του τηλεφώνου και, σε μεταγενέστερο στάδιο, να στέλνει ενημερώσεις ακόμα και όταν η πλατφόρμα δεν είναι ανοιχτή. Αυτό το πρότυπο είναι κλασικό για adware και για πλατφόρμες που επιθυμούν να παρακολουθούν την συμπεριφορά του παίκτη έξω από της εφαρμογής. Δεν λέω ότι το Need for Slots app κάνει κατάχρηση αυτές τις άδειες, αλλά η απαίτηση τους είναι ένα σαφές μειονέκτημα που οφείλει να αξιολογηθεί δεόντως. Η δοκιμή μου προχώρησε με την πλοήγηση στη βιβλιοθήκη παιχνιδιών, η όποια ήταν πλούσια σε περιεχόμενο, αλλά αυτό το θέμα είναι θέμα που θα αναλύσω σε άλλη ενότητα.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από όλη ανάλυση, η ειλικρινής μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την εισαγωγική εκκίνηση, αλλά ούτε και μια πλατφόρμα που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα ασφαλές προϊόν. Το δεδομένο ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια νόμιμη εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν δύναται να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια εφαρμογή που έχει κατασκευαστεί για να αποκτά δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι διατεθειμένος να δεχτείς τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να προσφέρεις κανένα προσωπικό στοιχείο, τότε μπορείς να το ελέγξεις με σχετική ασφάλεια. Δεν συμβουλεύω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν χρησιμοποιείς εφαρμογές mobile banking. Η απουσία διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να έχω μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, φύλαξε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.