Σε περίπτωση που βρίσκεσαι σε αυτό το μέρος, το ενδεχόμενο είναι να έχεις δει ένα συγκεκριμένο βίντεο με πελώρια κέρδη ή έχεις ακούσει για το Need for Slots app και απορείς αν το APK που υπάρχει είναι νόμιμο ή απλώς μια καλοστημένη παγίδα. Το έψαξα προσωπικά, κατέβασα το αρχείο, το ανέλυσα και έκανα ό,τι ακριβώς ακριβώς θα πραγματοποιούσε ένας διστακτικός χρήστης που δεν σκοπεύει να κάνει το κινητό του σε εκθετήριο malware. Εκείνο που ανακάλυψα με εξέπληξε γιατί η εικόνα που εμφανίζεται στα social media διαφέρει σημαντικά από την πραγματικότητα. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο περίπλοκη και κρύβει πολλές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και δίχως να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Ανάλυση των δικαιωμάτων που ζητά η εφαρμογή
Μετά που ολοκληρώθηκε η εγκατάσταση, ξόδεψα χρόνο για να εξετάσω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να ανοίγει και να δημιουργεί αρχεία σε κοινούς φακέλους. Αυτό υπονοεί ότι έχει τη δυνατότητα θεωρητικά να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν έχουν σχέση με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να μεταφέρει αυτά τα δεδομένα σε εξ αποστάσεως διακομιστές. Δεν εντόπισα τεκμήρια ότι λαμβάνει χώρα κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να εγείρει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή απαιτεί “read phone state”, που συμπεριλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι φυσιολογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει κάποια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με οδηγεί στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Εξέταση ασφαλείας και βλαβερό λογισμικό
Το επόμενο βήμα ήταν να καταθέσω το APK σε online πλατφόρμες ελέγχου κακόβουλου λογισμικού, όπως το VirusTotal. Το αποτέλεσμα ήταν εν μέρει ανακουφιστικό, καθώς κανένας από τους σημαντικούς antivirus κινητήρες δεν ανακάλυψε κάποιο οικείο trojan, ransomware ή spyware. Εντούτοις, αυτό δεν συνεπάγεται ότι το αρχείο είναι πλήρως “καθαρό”. Οι συστήματα ανίχνευσης συχνά βασίζονται σε δείγματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Σε αυτό που εστίασα περισσότερο ήταν στην μελέτη της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app δημιουργεί συνδέσεις προς πολλούς διακομιστές που δεν υπάγονται σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που σχετίζονται με affiliate marketing και aggregated data analytics. Αυτό υπονοεί ότι η εφαρμογή κατά πάσα πιθανότητα συλλέγει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.
Πρόσθετα, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι λειτουργούν διεργασίες ελέγχου ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που πραγματοποίησα, κράτησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε εκτελέσει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια συμπεριφορά που τοποθετεί την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός απλού παιχνιδιού. Το γεγονός ότι δεν υφίσταται επίσημη καταχώρηση στο Google Play Store αφαιρεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που δίνει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Η δοκιμή μου με την εγκατάσταση του APK του APK
Αρχικά που έκανα ήταν να κατεβάσω το αρχείο από την προέλευση που προβάλλεται συχνότερα στα social media https://needforslotscasino.com.gr/app/. Δεν χρησιμοποίησα εξωτερικές συνδέσεις, αλλά τον κύριο ιστότοπο που αναφέρεται σαφώς στις προωθήσεις. Το μέγεθος του αρχείου ήταν σχεδόν 80MB, πράγμα που είναι απολύτως φυσιολογικό για μια εφαρμογή που ενσωματώνει γραφικά υψηλής ανάλυσης και μια συλλογή παιχνιδιών. Αμέσως μετά τη λήψη αρχείου, το Android με ειδοποίησε ότι αποτελεί για άγνωστη πηγή, γεγονός λογικό επειδή το APK δεν προέρχεται από από το Google Play Store. Αυτό είναι το πρώτο σημείο όπου πολλοί χρήστες παγώνουν, και σωστά. Άνοιξα την εγκατάσταση από άγνωστες πηγές για λίγο, αλλά έχοντας εκ των προτέρων αποκλείσει τη συσκευή μου από το κεντρικό μου δίκτυο και απενεργοποιήσει όποια app τράπεζας ή προσωπικών δεδομένων. Η εγκατάσταση έγινε χωρίς εμπόδια, δίχως ύποπτα αναδυόμενα παράθυρα ή ερωτήματα που να αποκλίνουν από τα τυπικά. Το εικονίδιο προβλήθηκε αμέσως στην οθόνη και το εκκίνηση της εφαρμογής ήταν παρομοίως άμεσο, χωρίς αργοπορίες ή σφάλματα που θα ενδέχεται να υποδεικνύουν ύποπτη λειτουργία στο παρασκήνιο της συσκευής.
Εντούτοις, αυτό που με ανησύχησε είναι ότι η app ζήτησε ευθύς αμέσως μια λίστα από άδειες κατά την πρώτη έναρξη, τα που δεν δικαιολογούνται εύκολα για ένα social casino παιχνίδι. Για παράδειγμα, απαίτησε πρόσβαση στην τοποθεσία, κάτι που είναι συνήθως δείγμα για γεωγραφική στόχευση, αλλά και για περισσότερο αμφίβολες ενέργειες. Επίσης, απαίτησε πρόσβαση να ελέγχει την κατάσταση του τηλεφώνου και, σε ύστερο χρόνο, να προωθεί ενημερώσεις ακόμη και όταν η πλατφόρμα δεν είναι ενεργή. Αυτό το πρότυπο είναι συνηθισμένο για κακόβουλο λογισμικό και για πλατφόρμες που σκοπεύουν να επιβλέπουν την δραστηριότητα του χρήστη μακριά από της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app κάνει κατάχρηση τα εν λόγω δικαιώματα, αλλά η ζήτηση τους είναι ένα προφανές αρνητικό που πρέπει να εξεταστεί προσεκτικά. Η προσωπική μου εμπειρία εξελίχθηκε με την εξερεύνηση στη βιβλιοθήκη παιχνιδιών, η οποία ήταν πλούσια σε περιεχόμενο, αλλά αυτό είναι σημείο που θα αναπτύξω σε διαφορετικό τμήμα.
Προέλευση και ηλεκτρονική υπογραφή του προγράμματος
Ένα από τα εξαιρετικά ουσιώδη σημεία που μελέτησα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι χρειάζεται να ελέγξεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν κάποια βήματα που πρέπει απαραίτητα να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το αρχικό και πιο σημαντικό είναι να μην χρησιμοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια συνήθεια που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να κατασκευάσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να παρακάμψεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να επιθεωρήσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απόλυτα απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, περιοριστεί τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα απατηλή ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που προβάλλεται στις διαφημίσεις.
Σύγκριση με παρεμφερείς εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να έχω ένα κριτήριο σύγκρισης, εξέτασα παράλληλα μερικές από τις πιο γνωστές εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι υπάρχουν στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η απόκλιση είναι συντριπτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από μεγάλες εταιρείες, έχουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο σημαντικό, δεν αιτούνται ποτέ προνόμια που είναι πέρα από τα απολύτως απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, φαίνεται να δραστηριοποιείται σε μια γκρίζα ζώνη, παρέχοντας μια εμπειρία που μιμείται το κανονικό online καζίνο, αλλά δίχως το θεσμικό πλαίσιο και τους ελέγχους που επιβάλλονται από τις επίσημες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι απαραίτητα επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια εμφανή απουσία επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει οποιοδήποτε σύστημα γονεϊκού ελέγχου ή αποκλεισμού πρόσβασης για παιδιά, σε αντίθεση με τις παρόμοιες εφαρμογές του Play Store που περιλαμβάνουν age gates και επαλήθευση ηλικίας. Επίσης, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον ανεξάρτητο οργανισμό, στοιχείο που είναι τυποποιημένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει απασχολημένο. Από την οπτική γωνία ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτόματα κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που απαιτεί αυξημένης προσοχής.
Οριστική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η ειλικρινής μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια εφαρμογή που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα έμπιστο προϊόν. Το δεδομένο ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια σημαντική ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υφίσταται κανένας λόγος για μια νόμιμη εταιρεία να αποφύγει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια πλατφόρμα που έχει κατασκευαστεί για να συλλέγει δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι πρόθυμος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το ελέγξεις με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να κρατάω μια αρνητική στάση. Πρόκειται για μια υπηρεσία που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θέλεις τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.