Εάν έχεις φτάσει σε αυτό το μέρος, το πιο πιθανό είναι να είδες ήδη ένα βίντεο με πελώρια κέρδη ή έχεις ακούσει για το Need for Slots app και αναρωτιέσαι αν το APK που κυκλοφορεί είναι νόμιμο ή απλώς μια προσεγμένη παγίδα. Το έψαξα μόνος μου, κατέβασα το αρχείο, το εξέτασα και έκανα αυτό που ακριβώς θα πραγματοποιούσε ένας διστακτικός χρήστης που δεν σκοπεύει να γυρίσει το κινητό του σε έκθεμα malware. Αυτό που ανακάλυψα με ξάφνιασε γιατί η εικόνα που εμφανίζεται στα social media διαφέρει παρασάγγας από την πραγματικότητα. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο σύνθετη και κρύβει πολλές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Τι χρειάζεται να ελέγξεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε συγκεκριμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το βασικό και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια συνήθεια που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να φτιάξεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, παρακάμπτοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην παραχωρήσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app λειτουργεί, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που προβάλλεται στις διαφημίσεις.
Ανάλυση ασφαλείας και βλαβερό λογισμικό
Το επόμενο βήμα ήταν να στείλω το APK σε διαδικτυακές πλατφόρμες ελέγχου κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους κύριους antivirus κινητήρες δεν ανακάλυψε κάποιο οικείο trojan, ransomware ή spyware. Ωστόσο, αυτό δεν υποδηλώνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά στηρίζονται σε αποτυπώματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Εκεί που συγκεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app εγκαθιστά συνδέσεις προς αρκετούς διακομιστές που δεν σχετίζονται σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που αφορούν με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή κατά πάσα πιθανότητα συγκεντρώνει δεδομένα χρήσης και τα διαμοιράζεται με τρίτους για προωθητικούς σκοπούς.
Επίσης, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι εκτελούνται διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που διεξήγαγα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράνομο, αλλά είναι μια δράση που κατατάσσει την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός απλού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώρηση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, παραχωρώντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Σύγκριση παρόμοιες εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να αποκτήσω ένα μέτρο σύγκρισης, εξέτασα παράλληλα μερικές από τις πιο διαδεδομένες εφαρμογές κοινωνικών καζίνο που είναι υπάρχουν στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η διαφορά είναι συντριπτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από σημαντικές εταιρείες, διαθέτουν πλήρεις πολιτικές απορρήτου, και το πιο βασικό, δεν απαιτούν ποτέ άδειες που ξεπερνούν τα απολύτως απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη, δείχνει να λειτουργεί σε μια ασαφή ζώνη, προσφέροντας μια αίσθηση που μιμείται το πραγματικό online καζίνο, αλλά χωρίς το θεσμικό πλαίσιο και τους ελέγχους που απαιτούνται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά υποδεικνύει μια εμφανή στέρηση επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με ξάφνιασε αρνητικά είναι ότι το Need for Slots app δεν έχει κανένα σύστημα γονικού ελέγχου ή αποκλεισμού εισόδου για ανηλίκους, σε αντίθεση με τις συναφείς εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Επίσης, οι συστήματα τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον αμερόληπτο οργανισμό, κάτι που είναι στάνταρ στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά σίγουρα την κατατάσσει σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Η δοκιμή μου με την εγκατάσταση του APK
Αρχικά που έκανα ήταν να κατεβάσω το αρχείο από την πηγή που προωθείται εντονότερα στα κοινωνικά δίκτυα. Δεν επέλεξα άλλες πηγές, αλλά τον επίσημο ιστότοπο που αναγράφεται ξεκάθαρα στις αγγελίες. Το μέγεθος αρχείου του αρχείου ήταν γύρω στα 80MB, πράγμα που είναι απολύτως συνηθισμένο για μια app που περιέχει υψηλής ευκρίνειας γραφικά και μια βιβλιοθήκη παιχνιδιών. Μόλις μετά τη λήψη, το Android με προειδοποίησε ότι πρόκειται για μη αναγνωρισμένη πηγή, γεγονός λογικό επειδή το APK δεν προέρχεται από από το Google Play Store. Εδώ είναι το πρώτο σημείο όπου πολλοί χρήστες σταματούν, και εύλογα. Ενεργοποίησα την εγκατάσταση εφαρμογών από μη ασφαλείς πηγές προσωρινά, αλλά έχοντας εκ των προτέρων απομονώσει τη συσκευή από το κεντρικό μου δίκτυο και απενεργοποιήσει προσωρινά κάθε εφαρμογή τραπεζικής ή προσωπικών δεδομένων. Η διαδικασία εγκατάστασης τελείωσε χωρίς εμπόδια, χωρίς ύποπτα pop-ups ή απαιτήσεις που να διαφέρουν από τα συνηθισμένα. Το εικονίδιο εμφανίστηκε αμέσως στην οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν παρομοίως γρήγορο, δίχως υστερήσεις ή σφάλματα που θα μπορούσαν να υποδηλώνουν ύποπτη λειτουργία στο παρασκήνιο της συσκευής.
Παρόλα αυτά, αυτό που με προβλημάτισε είναι ότι η πλατφόρμα χρειάστηκε ευθύς αμέσως μια σειρά από προσβάσεις κατά την αρχική λειτουργία, τα όποια δεν αιτιολογούνται απλά για ένα παιχνίδι καζίνο. Για παράδειγμα, αιτήθηκε πρόσβαση στην θέση μου, κάτι που είναι συχνά δείγμα για γεωγραφικό φιλτράρισμα, αλλά και για πιο ύποπτες δραστηριότητες. Επίσης, ζήτησε δικαίωμα να βλέπει την κατάσταση του κινητού και, σε μεταγενέστερο στάδιο, να προωθεί push notifications ακόμα κι όταν η εφαρμογή δεν είναι ενεργή. Αυτή η συμπεριφορά είναι τυπικό για κακόβουλο λογισμικό και για πλατφόρμες που θέλουν να παρακολουθούν την συμπεριφορά του χρήστη έξω από της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app καταχράται αυτές τις άδειες, αλλά η ζήτηση τους είναι ένα σαφές μειονέκτημα που χρειάζεται να εξεταστεί προσεκτικά. Η εμπειρία μου εξελίχθηκε με την πλοήγηση στη λίστα παιχνιδιών, η όποια ήταν πλούσια σε περιεχόμενο, αλλά αυτό το θέμα είναι σημείο που θα αναλύσω σε επόμενο κεφάλαιο.
Προέλευση και ψηφιακή υπογραφή του αρχείου
Ένα από τα εξαιρετικά ουσιώδη θέματα που ανέλυσα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αναφέρεται σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Εξέταση των αδειών που απαιτεί η εφαρμογή
Μετά που ολοκληρώθηκε η εγκατάσταση, ξόδεψα χρόνο για να ελέγξω λεπτομερώς τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android https://needforslotscasino.com.gr/app/. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία επιτρέπει στην εφαρμογή να βλέπει και να αποθηκεύει αρχεία σε κοινόχρηστους φακέλους. Αυτό υποδηλώνει ότι έχει τη δυνατότητα θεωρητικά να σαρώσει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υφίσταται η τεχνική δυνατότητα να ανεβάζει αυτά τα δεδομένα σε μακρινούς διακομιστές. Δεν εντόπισα αποδείξεις ότι συμβαίνει κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι επαρκής για να προκαλέσει κόκκινες σημαίες σε κάθε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή απαιτεί “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι αμερόληπτος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και αξιοποιούν διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι λογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει καμία πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κανένα κουμπί που να οδηγεί σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Απόλυτη ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα ξεκάθαρο κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια υπηρεσία που καλύπτει τα ελάχιστα στάνταρ ασφαλείας που θα ανέμενε κανείς από ένα ασφαλές προϊόν. Το δεδομένο ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν είναι καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να αποφύγει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια υπηρεσία που έχει σχεδιαστεί για να μαζεύει δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, προσφέροντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι πρόθυμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το δοκιμάσεις με σχετική ασφάλεια. Δεν συνιστώ όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η στέρηση διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να διατηρώ μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που βασίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.