Εάν έφτασες σε αυτό το στάδιο, το πιθανότερο είναι ότι έχεις δει κάποιο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και απορείς αν το APK που υπάρχει είναι κανονικό ή μόνο μια προσεγμένη παγίδα. Το έψαξα προσωπικά, λήφθηκε το αρχείο, το εξέτασα και πραγματοποίησα ό,τι ακριβώς ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν θέλει να κάνει το κινητό του σε έκθεμα malware. Το γεγονός που ανακάλυψα με ξάφνιασε γιατί η εικόνα που εμφανίζεται στα social media απέχει πολύ από την πραγματικότητα. Δεν αναφερόμαστε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με αληθινά χρήματα, χωρίς να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του λέει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η δοκιμή μου με την εγκατάσταση του APK του APK
Το πρώτο πράγμα που έκανα ήταν να φορτώσω το αρχείο από την τοποθεσία που προωθείται εντονότερα στα κοινωνικά δίκτυα. Δεν αξιοποίησα τρίτους συνδέσμους, αλλά τον κύριο ιστότοπο που αναφέρεται ρητά στις διαφημίσεις. Το μέγεθος αρχείου του αρχείου ήταν περίπου 80MB, κάτι που είναι πλήρως φυσιολογικό για μια εφαρμογή που διαθέτει γραφικά υψηλής ανάλυσης και μια βιβλιοθήκη παιχνιδιών. Αμέσως μετά τη κατέβασμα, το Android με προειδοποίησε ότι πρόκειται για άγνωστη πηγή, κάτι αναμενόμενο αφού το APK δεν λαμβάνεται από το Google Play Store. Εδώ είναι το πρώτο βήμα όπου διάφοροι χρήστες σταματούν, και εύλογα. Ενεργοποίησα την εγκατάσταση από εξωτερικές πηγές για λίγο, έχοντας προηγουμένως προηγουμένως αποκλείσει τη συσκευή από το βασικό μου δίκτυο και απενεργοποιήσει οποιαδήποτε εφαρμογή τραπεζικής ή ευαίσθητων δεδομένων. Η διαδικασία τελείωσε ομαλά και χωρίς προβλήματα, χωρίς αμφίβολες ειδοποιήσεις ή ερωτήματα που να αποκλίνουν από τα συνηθισμένα. Το εικονίδιο προβλήθηκε άμεσα στην επιφάνεια εργασίας και το εκκίνηση της εφαρμογής ήταν εξίσου άμεσο, χωρίς αργοπορίες ή σφάλματα που θα μπορούσαν να υποδηλώνουν κακόβουλη συμπεριφορά στο παρασκήνιο της συσκευής.
Ωστόσο, αυτό που με ανησύχησε είναι ότι η app ζήτησε ευθύς αμέσως μια σειρά από άδειες κατά την πρώτη εκτέλεση, τα όποια δεν εξηγούνται άμεσα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα χάριν, απαίτησε δικαίωμα στην τοποθεσία, γεγονός που είναι συχνά σημάδι για γεωγραφικό φιλτράρισμα, αλλά και για επικίνδυνες δράσεις. Ακόμα, ζήτησε άδεια να διαβάζει την κατάσταση της συσκευής και, σε ύστερο χρόνο, να προωθεί ενημερώσεις ακόμα και όταν η app δεν είναι σε λειτουργία. Αυτή η συμπεριφορά είναι τυπικό για κακόβουλο λογισμικό και για πλατφόρμες που θέλουν να παρακολουθούν την δράση του ατόμου μακριά από της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app καταχράται τα εν λόγω δικαιώματα, αλλά η απαίτηση τους είναι ένα προφανές αρνητικό που πρέπει να ληφθεί σοβαρά υπόψη. Η εμπειρία μου εξελίχθηκε με την πλοήγηση στη λίστα παιχνιδιών, η που ήταν εντυπωσιακά πλούσια, αλλά το ζήτημα είναι σημείο που θα εξετάσω σε επόμενο κεφάλαιο.
Προέλευση και ψηφιακή υπογραφή του προγράμματος
Ένα από τα πιο κρίσιμα θέματα που εξέτασα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι είναι σημαντικό να γνωρίζεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν ορισμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το αρχικό και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να κατασκευάσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, παρακάμπτοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να παρακάμψεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να εξετάσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να απενεργοποιήσεις ό,τι δεν είναι απόλυτα απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, πήγαινε στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και ακύρωσε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να τοποθετήσεις έναν αξιόπιστο antivirus για κινητά και να σκανάρεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Έλεγχος ασφαλείας και βλαβερό λογισμικό
Το επόμενο βήμα ήταν να καταθέσω το APK σε διαδικτυακές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους κύριους antivirus κινητήρες δεν ανακάλυψε κάποιο γνωστό trojan, ransomware ή spyware. Ωστόσο, αυτό δεν συνεπάγεται ότι το αρχείο είναι απόλυτα “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά στηρίζονται σε υπογραφές γνωστών απειλών και ένα καινούργιο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Στο σημείο που συγκεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app εγκαθιστά συνδέσεις προς διάφορους διακομιστές που δεν υπάγονται σε κάποια αναγνωρισμένη εταιρεία ανάπτυξης παιχνιδιών, αλλά σε υπηρεσίες που αφορούν με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή κατά πάσα πιθανότητα συλλέγει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.
Επιπλέον, μελέτησα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι λειτουργούν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που έκανα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και παρατήρησα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς προωθητικά δίκτυα. Αυτό δεν είναι αθέμιτο, αλλά είναι μια στάση που τοποθετεί την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το περιστατικό ότι δεν υφίσταται επίσημη καταχώρηση στο Google Play Store αφαιρεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, εναποθέτοντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Σύγκριση με αντίστοιχες εφαρμογές social καζίνο
Για να αποκτήσω ένα κριτήριο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο δημοφιλείς εφαρμογές social καζίνο που είναι προσβάσιμες στο Google Play Store, όπως είναι το Slotomania και το House of Fun. Η απόσταση είναι συντριπτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από ισχυρές εταιρείες, διαθέτουν πλήρεις πολιτικές απορρήτου, και το πιο σημαντικό, δεν απαιτούν ποτέ δικαιώματα που είναι πέρα από τα εντελώς απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη, φαίνεται να λειτουργεί σε μια γκρίζα ζώνη, παρουσιάζοντας μια εμπειρία που αντιγράφει το πραγματικό online καζίνο, αλλά άνευ το κανονιστικό πλαίσιο και τους εποπτείες που επιβάλλονται από τις επίσημες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την προστασία της συσκευής σου, αλλά καταδεικνύει μια σαφή στέρηση επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα σύστημα γονικού ελέγχου ή αποκλεισμού εισόδου για παιδιά, σε αντιδιαστολή με τις αντίστοιχες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον ανεξάρτητο οργανισμό, πράγμα που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε διατηρήσει απασχολημένο. Από την οπτική γωνία ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Μελέτη των αδειών που απαιτεί η εφαρμογή
Όταν ολοκληρώθηκε η εγκατάσταση, διέθεσα χρόνο για να ελέγξω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσα από των ρυθμίσεων του Android https://needforslotscasino.com.gr/app/. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να γράφει αρχεία σε δημόσιους φακέλους. Αυτό υποδηλώνει ότι έχει τη δυνατότητα κατ’ αρχήν να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υφίσταται η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν βρήκα αποδείξεις ότι συμβαίνει κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι επαρκής για να σηκώσει κόκκινες σημαίες σε οποιοδήποτε έλεγχο ασφαλείας. Επιπλέον, η εφαρμογή αιτείται “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη δημιουργία διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι αμερόληπτος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι κοινά σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι λογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν παρουσιάζεται κάποια πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε κανένα κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Απόλυτη ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου κλέψει τους κωδικούς τραπέζης με την εισαγωγική εκκίνηση, αλλά ούτε και μια υπηρεσία που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα έμπιστο προϊόν. Το στοιχείο ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν είναι καλά. Δεν υπάρχει κανένας λόγος για μια επίσημη εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια πλατφόρμα που έχει δημιουργηθεί για να αποκτά δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια αυταπάτη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η απόλαυση και είσαι πρόθυμος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να προσφέρεις κανένα προσωπικό στοιχείο, τότε δύνασαι να το πειραματιστείς με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να έχω μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θέλεις τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
