Αν βρίσκεσαι σε αυτό το μέρος, το πιο πιθανό είναι πως έχεις ήδη δει ένα συγκεκριμένο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το εφαρμογή καζίνο Need for Slots app και απορείς αν το APK που κυκλοφορεί είναι κανονικό ή απλώς μια προσεγμένη παγίδα. Το έψαξα προσωπικά, κατέβασα το αρχείο, το εξέτασα και έκανα αυτό που ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν σκοπεύει να μετατρέψει το κινητό του σε βιτρίνα malware. Εκείνο που ανακάλυψα με ξάφνιασε γιατί η εικόνα που εμφανίζεται στα social media απέχει πολύ από την αλήθεια. Δεν αναφερόμαστε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του λέει “προσοχή”. Ωστόσο, η αλήθεια είναι πιο σύνθετη και κρύβει πολλές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Αντιπαραβολή αντίστοιχες εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να διαθέτω ένα σημείο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο γνωστές εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι προσβάσιμες στο Google Play Store, όπως το Slotomania και το House of Fun. Η απόκλιση είναι τεράστια. Αυτές οι εφαρμογές είναι υπογεγραμμένες από μεγάλες εταιρείες, παρέχουν πλήρεις πολιτικές απορρήτου, και το πιο ουσιώδες, δεν αιτούνται ποτέ δικαιώματα που είναι πέρα από τα απολύτως απαραίτητα για την λειτουργία του παιχνιδιού. Το Need for Slots app, από την αντίθετη πλευρά, μοιάζει να λειτουργεί σε μια γκρίζα ζώνη, παρέχοντας μια εμπειρία που αντιγράφει το αυθεντικό online καζίνο, αλλά άνευ το κανονιστικό πλαίσιο και τους περιορισμούς που απαιτούνται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι απαραίτητα επικίνδυνη για την προστασία της συσκευής σου, αλλά υποδεικνύει μια σαφή έλλειψη επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει κανένα σύστημα γονικού ελέγχου ή αποκλεισμού πρόσβασης για ανηλίκους, σε αντιδιαστολή με τις συναφείς εφαρμογές του Play Store που ενσωματώνουν age gates και επαλήθευση ηλικίας. Επιπλέον, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από έναν αμερόληπτο οργανισμό, κάτι που είναι στάνταρ στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την οπτική ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά αναμφίβολα την τοποθετεί σε μια κατηγορία που απαιτεί ενισχυμένης προσοχής.
Η εμπειρία μου με την εγκατάσταση του APK
Το πρώτο πράγμα που έκανα ήταν να κατεβάσω το αρχείο από την πηγή που προβάλλεται περισσότερο στα κοινωνικά δίκτυα. Δεν επέλεξα εξωτερικές συνδέσεις, αλλά τον κεντρικό ιστότοπο που αναφέρεται ρητά στις προωθήσεις. Το μέγεθος του αρχείου ήταν γύρω στα 80MB, γεγονός που είναι εντελώς φυσιολογικό για μια εφαρμογή που ενσωματώνει ποιοτικά γραφικά και μια συλλογή παιχνιδιών. Αμέσως μετά τη λήψη αρχείου, το Android με ενημέρωσε ότι πρόκειται για μη αναγνωρισμένη πηγή, κάτι αναμενόμενο καθώς το APK δεν προέρχεται από το Google Play Store. Εδώ είναι το πρώτο βήμα όπου διάφοροι χρήστες σταματούν, και δικαίως. Ενεργοποίησα την εγκατάσταση από άγνωστες πηγές προσωρινά, αλλά έχοντας πριν αποσυνδέσει τη συσκευή από το κύριο δίκτυο μου και απενεργοποιήσει προσωρινά όποια app τράπεζας ή απόρρητων πληροφοριών. Η διαδικασία εγκατάστασης ολοκληρώθηκε χωρίς εμπόδια, χωρίς ύποπτα αναδυόμενα παράθυρα ή αιτήματα που να ξεφεύγουν από τα κανονικά. Το εικονίδιο της εφαρμογής φάνηκε αμέσως στην επιφάνεια εργασίας και το εκκίνηση της εφαρμογής ήταν εξίσου άμεσο, δίχως καθυστερήσεις ή λάθη που θα ενδέχεται να δείχνουν κακόβουλη συμπεριφορά στο υπόβαθρο.
Εντούτοις, αυτό που με προβλημάτισε είναι ότι η πλατφόρμα χρειάστηκε ευθύς αμέσως μια λίστα από προσβάσεις κατά την πρώτη έναρξη, τα που δεν αιτιολογούνται απλά για ένα παιχνίδι καζίνο. Για λόγου χάρη, ζήτησε πρόσβαση στην τοποθεσία μου, γεγονός που είναι συνήθως ένδειξη για γεωγραφική στόχευση, αλλά και για επικίνδυνες δράσεις. Επίσης, ζήτησε άδεια να διαβάζει την κατάσταση της συσκευής και, σε μεταγενέστερο στάδιο, να προωθεί ενημερώσεις ακόμα κι όταν η app δεν είναι σε λειτουργία. Αυτή η συμπεριφορά είναι κλασικό για adware και για συστήματα που σκοπεύουν να καταγράφουν την δράση του ατόμου μακριά από της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app κάνει κατάχρηση τα εν λόγω δικαιώματα, αλλά η αίτηση τους είναι ένα σαφές μειονέκτημα που οφείλει να αξιολογηθεί δεόντως. Η δοκιμή μου συνεχίστηκε με την εξερεύνηση στη βιβλιοθήκη παιχνιδιών, η οποία ήταν πλούσια σε περιεχόμενο, αλλά αυτό είναι σημείο που θα αναπτύξω σε διαφορετικό τμήμα.
Εξέταση των προνομίων που απαιτεί η εφαρμογή
Όταν ολοκληρώθηκε η εγκατάσταση, αφιέρωσα χρόνο για να αναλύσω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσω των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία επιτρέπει στην εφαρμογή να διαβάζει και να γράφει αρχεία σε κοινούς φακέλους. Αυτό σημαίνει ότι έχει τη δυνατότητα υποθετικά να σαρώσει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να ανεβάζει αυτά τα δεδομένα σε εξ αποστάσεως διακομιστές. Δεν βρήκα τεκμήρια ότι συμβαίνει κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι ικανή για να εγείρει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Επιπλέον, η εφαρμογή ζητά “read phone state”, που εμπεριέχει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι δίκαιος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι φυσιολογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η απουσία διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν παρουσιάζεται καμία πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κανένα κουμπί που να παραπέμπει σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν συγκεκριμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια συνήθεια που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να κατασκευάσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, παρακάμπτοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να απαιτήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να προσφέρει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να απενεργοποιήσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να σκανάρεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα απατηλή ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Προέλευση και ψηφιακή υπογραφή του προγράμματος
Ένα από τα εξαιρετικά κρίσιμα σημεία που ανέλυσα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αναφέρεται σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Εξέταση ασφαλείας και κακόβουλο λογισμικό
Το αμέσως επόμενο βήμα ήταν να στείλω το APK σε online πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους μεγάλους antivirus κινητήρες δεν εντόπισε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν συνεπάγεται ότι το αρχείο είναι απολύτως “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά βασίζονται σε αποτυπώματα γνωστών απειλών και ένα καινούργιο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Εκεί που επικεντρώθηκα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app καθιερώνει συνδέσεις προς πολλούς διακομιστές που δεν υπάγονται σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε υπηρεσίες που συνδέονται με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή πιθανότατα μαζεύει δεδομένα χρήσης και τα μοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Επίσης, ανέλυσα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά ένδειξη ότι εκτελούνται διεργασίες ελέγχου ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που πραγματοποίησα, κράτησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και παρατήρησα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράνομο, αλλά είναι μια δράση που τοποθετεί την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώρηση στο Google Play Store στερεί από τον χρήστη το όφελος του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, εναποθέτοντας το βάρος εξ ολοκλήρου στην ατομική κρίση.
Τελική ετυμηγορία: αξίζει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η ειλικρινής μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια πλατφόρμα που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα έμπιστο προϊόν. Το δεδομένο ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια επίσημη εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν δύναται να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια υπηρεσία που έχει σχεδιαστεί για να συλλέγει δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η απόλαυση και είσαι έτοιμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το πειραματιστείς με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η απουσία διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με ωθούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που βασίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, φύλαξε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.