Αν βρίσκεσαι σε αυτό το σημείο, το πιθανότερο είναι πως είδες ήδη κάποιο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και αναρωτιέσαι αν το APK που κυκλοφορεί είναι νόμιμο ή απλώς μια προσεγμένη παγίδα. Το εξέτασα μόνος μου, κατέβασα το αρχείο, το εξέτασα και έκανα αυτό που ακριβώς θα πραγματοποιούσε ένας διστακτικός χρήστης που δεν επιθυμεί να κάνει το κινητό του σε έκθεμα malware. Το γεγονός που βρήκα με εντύπωσε γιατί η εικόνα που εμφανίζεται στα social media διαφέρει παρασάγγας από την πραγματικότητα. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και δίχως να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η προσωπική μου εμπειρία με την εγκατάσταση του APK του APK
Το πρώτο πράγμα που έκανα ήταν να κατεβάσω το αρχείο από την πηγή που προβάλλεται συχνότερα στα κοινωνικά δίκτυα. Δεν χρησιμοποίησα τρίτους συνδέσμους, αλλά τον κεντρικό ιστότοπο που δηλώνεται ξεκάθαρα στις αγγελίες. Το μέγεθος του αρχείου ήταν γύρω στα 80MB, πράγμα που είναι πλήρως συνηθισμένο για μια εφαρμογή που περιέχει ποιοτικά γραφικά και μια βιβλιοθήκη παιχνιδιών. Μόλις μετά τη λήψη, το Android με ενημέρωσε ότι αποτελεί για μη αναγνωρισμένη πηγή, πράγμα φυσιολογικό επειδή το APK δεν προέρχεται από το Google Play Store. Εδώ είναι το πρώτο βήμα όπου πολλοί χρήστες παγώνουν, και εύλογα. Ενεργοποίησα την εγκατάσταση εφαρμογών από μη ασφαλείς πηγές για λίγο, έχοντας προηγουμένως εκ των προτέρων αποσυνδέσει τη συσκευή από το βασικό μου δίκτυο και απενεργοποιήσει προσωρινά όποια τραπεζική εφαρμογή ή απόρρητων πληροφοριών. Η διαδικασία τελείωσε ομαλά και χωρίς προβλήματα, άνευ αμφίβολες ειδοποιήσεις ή ερωτήματα που να διαφέρουν από τα συνηθισμένα. Το εικονίδιο φάνηκε αμέσως στην αρχική οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν το ίδιο γρήγορο, χωρίς αργοπορίες ή σφάλματα που θα μπορούσαν να δείχνουν επικίνδυνη δράση στο παρασκήνιο της συσκευής.
Ωστόσο, αυτό που με προβλημάτισε είναι ότι η εφαρμογή απαίτησε άμεσα μια σειρά από δικαιώματα κατά την αρχική λειτουργία, τα που δεν αιτιολογούνται εύκολα για ένα παιχνίδι καζίνο. Για παράδειγμα, αιτήθηκε δικαίωμα στην τοποθεσία, πράγμα που είναι συνήθως δείγμα για γεωγραφικό περιορισμό, αλλά και για επικίνδυνες δράσεις. Ακόμα, απαίτησε άδεια να διαβάζει την κατάσταση του κινητού και, σε ύστερο χρόνο, να στέλνει ενημερώσεις ακόμα και όταν η app δεν είναι ανοιχτή. Αυτή η συμπεριφορά είναι τυπικό για κακόβουλο λογισμικό και για συστήματα που σκοπεύουν να παρακολουθούν την δραστηριότητα του ατόμου έξω από της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app καταχράται τα εν λόγω δικαιώματα, αλλά η ζήτηση τους είναι ένα σαφές μειονέκτημα που πρέπει να εξεταστεί προσεκτικά. Η προσωπική μου εμπειρία συνεχίστηκε με την εξερεύνηση στη συλλογή παιχνιδιών, η όποια ήταν εντυπωσιακά πλούσια, αλλά αυτό το θέμα είναι σημείο που θα αναλύσω σε άλλη ενότητα.
Προέλευση και ψηφιακή υπογραφή του πακέτου
Ένα από τα εξαιρετικά σημαντικά σημεία που ανέλυσα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι χρειάζεται να ελέγξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, θα βρεις συγκεκριμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το βασικό και πιο σημαντικό είναι να μην χρησιμοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να φτιάξεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να παρακάμψεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Έπειτα, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να απενεργοποιήσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, πήγαινε στις ρυθμίσεις της εφαρμογής και απενεργοποίησε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και ακύρωσε τις ειδοποιήσεις αν αυτές γίνονται ενοχλητικές ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να τοποθετήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Εξέταση ασφαλείας και βλαβερό λογισμικό
Το αμέσως επόμενο βήμα ήταν να στείλω το APK σε διαδικτυακές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους μεγάλους antivirus κινητήρες δεν ανακάλυψε κάποιο οικείο trojan, ransomware ή spyware. Εντούτοις, αυτό δεν υποδηλώνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά εδράζονται σε υπογραφές γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να περάσει απαρατήρητο. Στο σημείο που επικεντρώθηκα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app δημιουργεί συνδέσεις προς αρκετούς διακομιστές που δεν ανήκουν σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που αφορούν με affiliate marketing και aggregated data analytics. Αυτό υποδηλώνει ότι η εφαρμογή κατά πάσα πιθανότητα συγκεντρώνει δεδομένα χρήσης και τα μοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Επίσης, μελέτησα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά χρησιμοποιούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά ένδειξη ότι τρέχουν διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που πραγματοποίησα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς προωθητικά δίκτυα. Αυτό δεν είναι αθέμιτο, αλλά είναι μια συμπεριφορά που τοποθετεί την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώριση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που δίνει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Μελέτη των δικαιωμάτων που απαιτεί η εφαρμογή
Αφού τελείωσε η εγκατάσταση, διέθεσα χρόνο για να εξετάσω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία καθιστά δυνατή στην εφαρμογή να ανοίγει και να αποθηκεύει αρχεία σε κοινόχρηστους φακέλους. Αυτό σημαίνει ότι έχει τη δυνατότητα θεωρητικά να σαρώσει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να μεταφέρει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν εντόπισα στοιχεία ότι λαμβάνει χώρα κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή απαιτεί “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι δίκαιος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει απευθείας τον παίκτη, είναι εύλογο να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το ζήτημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται καμία πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με οδηγεί στο συμπέρασμα ότι ο χρήστης παρέχει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Σύγκριση με παρεμφερείς εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να αποκτήσω ένα κριτήριο σύγκρισης, δοκίμασα παράλληλα μερικές από τις πιο διαδεδομένες εφαρμογές κοινωνικών καζίνο που είναι προσβάσιμες στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η απόκλιση είναι χαοτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από ισχυρές εταιρείες, διαθέτουν πλήρεις πολιτικές απορρήτου, και το πιο ουσιώδες, δεν ζητούν ποτέ δικαιώματα που ξεπερνούν τα εντελώς απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη, δείχνει να κινείται σε μια γκρίζα ζώνη, παρέχοντας μια εμπειρία που αντιγράφει το αυθεντικό online καζίνο, αλλά δίχως το κανονιστικό πλαίσιο και τους εποπτείες που απαιτούνται από τις επίσημες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι απαραίτητα επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια ξεκάθαρη έλλειψη επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα σύστημα γονικού ελέγχου ή περιορισμού πρόσβασης για ανηλίκους, σε αντίθεση με τις συναφείς εφαρμογές του Play Store που περιλαμβάνουν age gates και επιβεβαίωση ηλικίας. Επίσης, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον ανεξάρτητο οργανισμό, πράγμα που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε διατηρήσει απασχολημένο. Από την οπτική γωνία ενός ειδικού, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτόματα επικίνδυνη, αλλά αναμφίβολα την κατατάσσει σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από όλη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την αρχική εκκίνηση, αλλά ούτε και μια πλατφόρμα που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα αξιόπιστο προϊόν. Το δεδομένο ότι παρέχεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια σημαντική ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια εφαρμογή που έχει δημιουργηθεί για να μαζεύει δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, προσφέροντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι πρόθυμος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ανεξάρτητη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε μπορείς να το πειραματιστείς με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots λήψη εφαρμογής καζίνο app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν αξιοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να κρατάω μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
