Αν έφτασες σε αυτό το στάδιο, το ενδεχόμενο είναι πως έχεις ήδη δει ένα συγκεκριμένο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και διερωτάσαι αν το APK που κυκλοφορεί είναι κανονικό ή απλώς μια καλοστημένη παγίδα. Το εξέτασα μόνος μου, λήφθηκε το αρχείο, το ανέλυσα και πραγματοποίησα αυτό που ακριβώς θα πραγματοποιούσε ένας επιφυλακτικός χρήστης που δεν σκοπεύει να κάνει το κινητό του σε βιτρίνα malware. Αυτό που ανακάλυψα με εντύπωσε γιατί η εικόνα που παρουσιάζεται στα social media διαφέρει πολύ από την πραγματικότητα. Δεν αναφερόμαστε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με αληθινά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Ανάλυση ασφαλείας και βλαβερό λογισμικό
Το επόμενο βήμα ήταν να στείλω το APK σε online πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το αποτέλεσμα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους μεγάλους antivirus κινητήρες δεν ανακάλυψε κάποιο γνωστό trojan, ransomware ή spyware. Εντούτοις, αυτό δεν υποδηλώνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά εδράζονται σε δείγματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Σε αυτό που συγκεντρώθηκα περισσότερο ήταν στην μελέτη της συμπεριφοράς του κώδικα. Είδησα ότι το Need for Slots app καθιερώνει συνδέσεις προς διάφορους διακομιστές που δεν ανήκουν σε κάποια αναγνωρισμένη εταιρεία ανάπτυξης παιχνιδιών, αλλά σε υπηρεσίες που αφορούν με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή μάλλον μαζεύει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.
Επίσης, μελέτησα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά ένδειξη ότι λειτουργούν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που διεξήγαγα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε εκτελέσει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς διαφημιστικά δίκτυα. Αυτό δεν είναι αθέμιτο, αλλά είναι μια στάση που εντάσσει την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το δεδομένο ότι δεν υφίσταται επίσημη καταχώρηση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που δίνει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Μελέτη των αδειών που ζητά η εφαρμογή
Όταν έγινε η εγκατάσταση, ξόδεψα χρόνο για να εξετάσω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να δημιουργεί αρχεία σε δημόσιους φακέλους. Αυτό σημαίνει ότι μπορεί κατ’ αρχήν να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν έχουν σχέση με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να ανεβάζει αυτά τα δεδομένα σε μακρινούς διακομιστές. Δεν βρήκα αποδείξεις ότι γίνεται κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή αιτείται “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη δημιουργία διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι κοινά σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι λογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το ζήτημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει καμία πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε ένα κουμπί που να οδηγεί σε μια σελίδα με όρους χρήσης. Αυτό με οδηγεί στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Τι είναι σημαντικό να γνωρίζεις πριν την εγκατάσταση
Αν έχεις φτάσει μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε κάποια βήματα που πρέπει υποχρεωτικά να ακολουθήσεις για να περιορίσεις την έκθεση σου σε κινδύνους needforslotscasino.com.gr. Το βασικό και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια τακτική που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να κατασκευάσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να απενεργοποιήσεις ό,τι δεν είναι εντελώς απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και απενεργοποίησε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα απατηλή ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Αντιπαραβολή παρεμφερείς εφαρμογές social καζίνο
Για να αποκτήσω ένα σημείο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο διαδεδομένες εφαρμογές κοινωνικών καζίνο που είναι υπάρχουν στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η απόσταση είναι συντριπτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από ισχυρές εταιρείες, παρέχουν πλήρεις πολιτικές απορρήτου, και το πιο ουσιώδες, δεν απαιτούν ποτέ δικαιώματα που υπερβαίνουν τα απολύτως απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη, δείχνει να λειτουργεί σε μια γκρίζα ζώνη, παρέχοντας μια εμπειρία που απομιμείται το κανονικό online καζίνο, αλλά δίχως το θεσμικό πλαίσιο και τους περιορισμούς που επιβάλλονται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την προστασία της συσκευής σου, αλλά φανερώνει μια σαφή έλλειψη επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει κανένα σύστημα γονεϊκού ελέγχου ή φραγμού πρόσβασης για παιδιά, σε αντιδιαστολή με τις παρόμοιες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι συστήματα τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον αμερόληπτο οργανισμό, κάτι που είναι στάνταρ στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε διατηρήσει δεσμευμένο. Από την σκοπιά ενός ειδικού, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά αναμφίβολα την τοποθετεί σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Προέλευση και ψηφιακή υπογραφή του προγράμματος
Ένα από τα περισσότερο σημαντικά θέματα που ανέλυσα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Η δοκιμή μου με την εγκατάσταση της εφαρμογής του APK
Αυτό που έκανα πρώτα που έκανα ήταν να κατεβάσω το αρχείο από την προέλευση που προωθείται περισσότερο στα social media. Δεν επέλεξα άλλες πηγές, αλλά τον κεντρικό ιστότοπο που δηλώνεται ρητά στις διαφημίσεις. Το όγκο του αρχείου ήταν σχεδόν 80MB, πράγμα που είναι εντελώς συνηθισμένο για μια πλατφόρμα που περιέχει γραφικά υψηλής ανάλυσης και μια λίστα παιχνιδιών. Ευθύς αμέσως μετά τη λήψη αρχείου, το Android με προειδοποίησε ότι αποτελεί για άγνωστη πηγή, πράγμα φυσιολογικό επειδή το APK δεν λαμβάνεται από το Google Play Store. Εδώ είναι το πρώτο σημείο όπου αρκετοί χρήστες διστάζουν, και εύλογα. Άνοιξα την εγκατάσταση εφαρμογών από άγνωστες πηγές για λίγο, αλλά έχοντας πριν αποσυνδέσει τη κινητό μου από το κεντρικό μου δίκτυο και απενεργοποιήσει κάθε τραπεζική εφαρμογή ή απόρρητων πληροφοριών. Η διαδικασία ολοκληρώθηκε ομαλά, χωρίς ύποπτα αναδυόμενα παράθυρα ή απαιτήσεις που να αποκλίνουν από τα συνηθισμένα. Το εικονίδιο εμφανίστηκε γρήγορα στην επιφάνεια εργασίας και το άνοιγμα της εφαρμογής ήταν το ίδιο γρήγορο, χωρίς υστερήσεις ή λάθη που θα ενδέχεται να υποδεικνύουν ύποπτη λειτουργία στο παρασκήνιο της συσκευής.
Εντούτοις, αυτό που με ανησύχησε είναι ότι η app απαίτησε ευθύς αμέσως μια σειρά από άδειες κατά την αρχική λειτουργία, τα οποία δεν δικαιολογούνται εύκολα για ένα social casino παιχνίδι. Για παράδειγμα, αιτήθηκε άδεια στην τοποθεσία μου, κάτι που είναι συχνά δείγμα για γεωγραφικό περιορισμό, αλλά και για περισσότερο αμφίβολες ενέργειες. Επίσης, απαίτησε άδεια να ελέγχει την κατάσταση του τηλεφώνου και, σε ύστερο χρόνο, να στέλνει ειδοποιήσεις push ακόμα και όταν η app δεν είναι σε λειτουργία. Αυτό το πρότυπο είναι συνηθισμένο για adware και για συστήματα που επιθυμούν να καταγράφουν την δράση του χρήστη εκτός της εφαρμογής. Δεν λέω ότι το Need for Slots app χρησιμοποιεί καταχρηστικά τα εν λόγω δικαιώματα, αλλά η ζήτηση τους είναι ένα προφανές αρνητικό που χρειάζεται να αξιολογηθεί δεόντως. Η δοκιμή μου εξελίχθηκε με την πλοήγηση στη βιβλιοθήκη παιχνιδιών, η που ήταν εντυπωσιακά μεγάλη, αλλά το ζήτημα είναι σημείο που θα εξετάσω σε διαφορετικό τμήμα.
Οριστική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την αρχική εκκίνηση, αλλά ούτε και μια υπηρεσία που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα αξιόπιστο προϊόν. Το στοιχείο ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια υπηρεσία που έχει δημιουργηθεί για να αποκτά δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι διατεθειμένος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το δοκιμάσεις με σχετική ασφάλεια. Δεν συνιστώ όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν αξιοποιείς εφαρμογές mobile banking. Η απουσία διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.