Σε περίπτωση που έχεις φτάσει σε αυτό το σημείο, το ενδεχόμενο είναι να έχεις δει ένα βίντεο με πελώρια κέρδη ή έχεις ακούσει για το Need for Slots app και απορείς αν το APK που κυκλοφορεί είναι κανονικό ή μόνο μια επιμελημένη παγίδα. Το εξέτασα προσωπικά, λήφθηκε το αρχείο, το ανέλυσα και πραγματοποίησα ό,τι ακριβώς θα πραγματοποιούσε ένας προσεκτικός χρήστης που δεν επιθυμεί να μετατρέψει το κινητό του σε βιτρίνα malware. Το γεγονός που βρήκα με ξάφνιασε γιατί η εικόνα που προβάλλεται στα social media απέχει παρασάγγας από την πραγματικότητα. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Ωστόσο, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η εμπειρία μου με την εγκατάσταση του APK του APK
Αρχικά που έκανα ήταν να φορτώσω το αρχείο από την προέλευση που προβάλλεται περισσότερο στα κοινωνικά δίκτυα. Δεν χρησιμοποίησα εξωτερικές συνδέσεις, αλλά τον κεντρικό ιστότοπο που αναγράφεται σαφώς στις προωθήσεις. Το μέγεθος του αρχείου ήταν σχεδόν 80MB, κάτι που είναι πλήρως συνηθισμένο για μια app που ενσωματώνει ποιοτικά γραφικά και μια λίστα παιχνιδιών. Ευθύς αμέσως μετά τη λήψη, το Android με ενημέρωσε ότι είναι για άγνωστη προέλευση, πράγμα φυσιολογικό καθώς το APK δεν προέρχεται από το Google Play Store. Εδώ είναι το πρώτο σημείο όπου πολλοί χρήστες διστάζουν, και δικαίως. Ενεργοποίησα προσωρινά την εγκατάσταση εφαρμογών από εξωτερικές πηγές για λίγο, έχοντας προηγουμένως προηγουμένως αποσυνδέσει τη συσκευή από το κεντρικό μου δίκτυο και απενεργοποιήσει προσωρινά οποιαδήποτε τραπεζική εφαρμογή ή απόρρητων πληροφοριών. Η εγκατάσταση έγινε χωρίς εμπόδια, άνευ ύποπτα pop-ups ή αιτήματα που να ξεφεύγουν από τα τυπικά. Το εικονίδιο της εφαρμογής φάνηκε αμέσως στην επιφάνεια εργασίας και το άνοιγμα της εφαρμογής ήταν παρομοίως άμεσο, δίχως υστερήσεις ή σφάλματα που θα ήταν δυνατόν να υποδηλώνουν ύποπτη λειτουργία στο παρασκήνιο.
Παρόλα αυτά, το σημείο που με απασχόλησε είναι ότι η πλατφόρμα απαίτησε ευθύς αμέσως μια λίστα από δικαιώματα κατά την πρώτη εκτέλεση, τα οποία δεν εξηγούνται εύκολα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα χάριν, απαίτησε πρόσβαση στην τοποθεσία, πράγμα που είναι συχνά ένδειξη για γεωγραφικό φιλτράρισμα, αλλά και για περισσότερο αμφίβολες ενέργειες. Ακόμα, αιτήθηκε δικαίωμα να διαβάζει την κατάσταση του τηλεφώνου και, σε επόμενο βήμα, να αποστέλλει push notifications ακόμη και όταν η πλατφόρμα δεν είναι ανοιχτή. Αυτή η συμπεριφορά είναι συνηθισμένο για κακόβουλο λογισμικό και για συστήματα που σκοπεύουν να καταγράφουν την δράση του παίκτη εκτός της εφαρμογής. Δεν λέω ότι το Need for Slots app καταχράται τα εν λόγω δικαιώματα, αλλά η απαίτηση τους είναι ένα σαφές μειονέκτημα που χρειάζεται να αξιολογηθεί δεόντως. Η προσωπική μου εμπειρία συνεχίστηκε με την πλοήγηση στη λίστα παιχνιδιών, η οποία ήταν εντυπωσιακά πλούσια, αλλά αυτό είναι θέμα που θα εξετάσω σε άλλη ενότητα.
Αντιπαραβολή παρεμφερείς εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να αποκτήσω ένα κριτήριο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο γνωστές εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι υπάρχουν στο Google Play Store, όπως το Slotomania και το House of Fun needforslotscasino.com.gr. Η απόκλιση είναι συντριπτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από μεγάλες εταιρείες, έχουν αναλυτικές πολιτικές απορρήτου, και το πιο βασικό, δεν αιτούνται ποτέ άδειες που ξεπερνούν τα απολύτως απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη, μοιάζει να λειτουργεί σε μια ασαφή ζώνη, παρουσιάζοντας μια εμπειρία που μιμείται το πραγματικό online καζίνο, αλλά χωρίς το ρυθμιστικό πλαίσιο και τους περιορισμούς που απαιτούνται από τις νόμιμες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την προστασία της συσκευής σου, αλλά φανερώνει μια ξεκάθαρη έλλειψη επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα σύστημα γονικού ελέγχου ή αποκλεισμού εισόδου για ανήλικους χρήστες, σε αντίθεση με τις παρόμοιες εφαρμογές του Play Store που περιλαμβάνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι συστήματα τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό υποδηλώνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα επικίνδυνη, αλλά αναμφίβολα την κατατάσσει σε μια κατηγορία που απαιτεί αυξημένης προσοχής.
Έλεγχος ασφαλείας και κακόβουλο λογισμικό
Το αμέσως επόμενο βήμα ήταν να υποβάλω το APK σε διαδικτυακές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το αποτέλεσμα ήταν εν μέρει ενθαρρυντικό, καθώς κανένας από τους σημαντικούς antivirus κινητήρες δεν εντόπισε κάποιο οικείο trojan, ransomware ή spyware. Εντούτοις, αυτό δεν υποδηλώνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά βασίζονται σε αποτυπώματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Στο σημείο που συγκεντρώθηκα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Είδησα ότι το Need for Slots app καθιερώνει συνδέσεις προς πολλούς διακομιστές που δεν σχετίζονται σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που αφορούν με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή κατά πάσα πιθανότητα συγκεντρώνει δεδομένα χρήσης και τα μοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Επίσης, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά χρησιμοποιούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι εκτελούνται διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που διεξήγαγα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράνομο, αλλά είναι μια συμπεριφορά που τοποθετεί την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το δεδομένο ότι δεν υφίσταται επίσημη καταχώρηση στο Google Play Store αφαιρεί από τον χρήστη το όφελος του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Ανάλυση των αδειών που ζητά η εφαρμογή
Αφού έγινε η εγκατάσταση, διέθεσα χρόνο για να ελέγξω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να γράφει αρχεία σε κοινόχρηστους φακέλους. Αυτό υποδηλώνει ότι έχει τη δυνατότητα θεωρητικά να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν έχουν σχέση με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν βρήκα τεκμήρια ότι συμβαίνει κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι επαρκής για να σηκώσει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή ζητά “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει απευθείας τον παίκτη, είναι φυσιολογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η απουσία διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει καμία πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε ένα κουμπί που να παραπέμπει σε μια σελίδα με όρους χρήσης. Αυτό με οδηγεί στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Προέλευση και ηλεκτρονική υπογραφή του πακέτου
Ένα από τα περισσότερο κρίσιμα στοιχεία που ανέλυσα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι σύνηθες για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε συγκεκριμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το βασικό και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να απαιτήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην παραχωρήσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να εξετάσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να ακυρώσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, πήγαινε στις ρυθμίσεις της εφαρμογής και απενεργοποίησε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, περιοριστεί τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να θυμάσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που εμφανίζεται στις διαφημίσεις.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την αρχική εκκίνηση, αλλά ούτε και μια εφαρμογή που καλύπτει τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα αξιόπιστο προϊόν. Το δεδομένο ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν πάει καλά. Δεν υφίσταται κανένας λόγος για μια επίσημη εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια υπηρεσία που έχει σχεδιαστεί για να αποκτά δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια αυταπάτη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι διατεθειμένος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ξεχωριστή συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε δύνασαι να το πειραματιστείς με σχετική ασφάλεια. Δεν συνιστώ όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν αξιοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με ωθούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια εφαρμογή που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
