Εάν έφτασες σε αυτό το στάδιο, το ενδεχόμενο είναι πως είδες ήδη ένα συγκεκριμένο βίντεο με τεράστια κέρδη ή άκουσες για το Need for Slots app και διερωτάσαι αν το APK που κυκλοφορεί είναι κανονικό ή απλώς μια καλοστημένη παγίδα. Το έψαξα προσωπικά, κατέβασα το αρχείο, το ανέλυσα και έκανα ό,τι ακριβώς ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν σκοπεύει να γυρίσει το κινητό του σε έκθεμα malware. Το γεγονός που ανακάλυψα με εξέπληξε γιατί η εικόνα που παρουσιάζεται στα social media διαφέρει σημαντικά από ανοίξτε την ιστοσελίδα πραγματικότητα. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο περίπλοκη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η δοκιμή μου με την εγκατάσταση του APK του APK
Αυτό που έκανα πρώτα που έκανα ήταν να κατεβάσω το αρχείο από την τοποθεσία που διαφημίζεται συχνότερα στα social media. Δεν χρησιμοποίησα άλλες πηγές, αλλά τον κύριο ιστότοπο που αναφέρεται ξεκάθαρα στις αγγελίες. Το μέγεθος αρχείου του αρχείου ήταν γύρω στα 80MB, πράγμα που είναι εντελώς αναμενόμενο για μια app που περιέχει ποιοτικά γραφικά και μια συλλογή παιχνιδιών. Αμέσως μετά τη λήψη αρχείου, το Android με ενημέρωσε ότι είναι για άγνωστη προέλευση, πράγμα φυσιολογικό επειδή το APK δεν λαμβάνεται από το Google Play Store. Αυτό είναι το αρχικό στάδιο όπου διάφοροι χρήστες παγώνουν, και σωστά. Άνοιξα την εγκατάσταση εφαρμογών από άγνωστες πηγές προσωρινά, έχοντας προηγουμένως εκ των προτέρων απομονώσει τη κινητό μου από το κύριο δίκτυο μου και κλείσει οποιαδήποτε εφαρμογή τραπεζικής ή ευαίσθητων δεδομένων. Η διαδικασία εγκατάστασης ολοκληρώθηκε ομαλά, άνευ ύποπτα pop-ups ή απαιτήσεις που να αποκλίνουν από τα τυπικά. Το εικονίδιο φάνηκε αμέσως στην αρχική οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν παρομοίως ταχύ, άνευ υστερήσεις ή προβλήματα που θα ενδέχεται να δείχνουν κακόβουλη συμπεριφορά στο παρασκήνιο της συσκευής.
Εντούτοις, το σημείο που με απασχόλησε είναι ότι η εφαρμογή ζήτησε αμέσως μια λίστα από δικαιώματα κατά την πρώτη έναρξη, τα οποία δεν εξηγούνται άμεσα για ένα παιχνίδι καζίνο. Για παράδειγμα χάριν, ζήτησε άδεια στην θέση μου, πράγμα που είναι συχνά ένδειξη για γεωγραφική στόχευση, αλλά και για πιο ύποπτες δραστηριότητες. Επιπλέον, απαίτησε πρόσβαση να βλέπει την κατάσταση του κινητού και, σε ύστερο χρόνο, να αποστέλλει ενημερώσεις ακόμα κι όταν η app δεν είναι ανοιχτή. Αυτό το πρότυπο είναι τυπικό για κακόβουλο λογισμικό και για συστήματα που θέλουν να παρακολουθούν την δράση του ατόμου έξω από της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app κάνει κατάχρηση τα εν λόγω δικαιώματα, αλλά η αίτηση τους είναι ένα σαφές μειονέκτημα που χρειάζεται να αξιολογηθεί δεόντως. Η προσωπική μου εμπειρία προχώρησε με την πλοήγηση στη συλλογή παιχνιδιών, η που ήταν πλούσια σε περιεχόμενο, αλλά το ζήτημα είναι ζήτημα που θα αναπτύξω σε διαφορετικό τμήμα.
Προέλευση και ψηφιακή υπογραφή του αρχείου
Ένα από τα πιο κρίσιμα σημεία που μελέτησα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Εξέταση των δικαιωμάτων που ζητά η εφαρμογή
Όταν ολοκληρώθηκε η εγκατάσταση, αφιέρωσα χρόνο για να ελέγξω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να δημιουργεί αρχεία σε κοινόχρηστους φακέλους. Αυτό υπονοεί ότι έχει τη δυνατότητα θεωρητικά να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν έχουν σχέση με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν ανακάλυψα στοιχεία ότι λαμβάνει χώρα κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι επαρκής για να προκαλέσει κόκκινες σημαίες σε οποιοδήποτε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή απαιτεί “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι δίκαιος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι λογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν παρουσιάζεται μια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Ανάλυση ασφαλείας και κακόβουλο λογισμικό
Το αμέσως επόμενο βήμα ήταν να στείλω το APK σε διαδικτυακές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει καθησυχαστικό, καθώς κανένας από τους κύριους antivirus κινητήρες δεν ανίχνευσε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν σημαίνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά εδράζονται σε αποτυπώματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Εκεί που συγκεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Διαπίστωσα ότι το Need for Slots app εγκαθιστά συνδέσεις προς πολλούς διακομιστές που δεν ανήκουν σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που αφορούν με affiliate marketing και aggregated data analytics. Αυτό υπονοεί ότι η εφαρμογή πιθανότατα συγκεντρώνει δεδομένα χρήσης και τα μοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Πρόσθετα, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι εκτελούνται διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που πραγματοποίησα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε εκτελέσει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια στάση που εντάσσει την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός αγνού παιχνιδιού. Το γεγονός ότι δεν υφίσταται επίσημη καταχώριση στο Google Play Store αφαιρεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που δίνει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Σύγκριση με αντίστοιχες εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να έχω ένα σημείο σύγκρισης, εξέτασα παράλληλα μερικές από τις πιο δημοφιλείς εφαρμογές κοινωνικών καζίνο που είναι προσβάσιμες στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η διαφορά είναι χαοτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από ισχυρές εταιρείες, έχουν πλήρεις πολιτικές απορρήτου, και το πιο βασικό, δεν απαιτούν ποτέ δικαιώματα που είναι πέρα από τα απολύτως απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, φαίνεται να κινείται σε μια γκρίζα ζώνη, προσφέροντας μια εμπειρία που μιμείται το πραγματικό online καζίνο, αλλά δίχως το ρυθμιστικό πλαίσιο και τους περιορισμούς που επιβάλλονται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την προστασία της συσκευής σου, αλλά υποδεικνύει μια εμφανή απουσία επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα απολύτως σύστημα γονικού ελέγχου ή περιορισμού εισόδου για ανήλικους χρήστες, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που ενσωματώνουν age gates και επαλήθευση ηλικίας. Ακόμα, οι συστήματα τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την οπτική γωνία ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτόματα επικίνδυνη, αλλά αναμφίβολα την τοποθετεί σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Τι χρειάζεται να ελέγξεις πριν την εγκατάσταση
Αν έχεις φτάσει μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε συγκεκριμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το αρχικό και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να παρακάμψεις εντελώς. Μην παραχωρήσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Έπειτα, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να ακυρώσεις ό,τι δεν είναι απόλυτα απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα απατηλή ή εξαιρετικά παραπλανητική. Το Need for Slots app λειτουργεί, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Απόλυτη ετυμηγορία: έχει τον κίνδυνο;
Μετά από όλη ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια υπηρεσία που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα ανέμενε κανείς από ένα αξιόπιστο προϊόν. Το στοιχείο ότι παρέχεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια σημαντική ένδειξη ότι κάτι δεν είναι καλά. Δεν υφίσταται κανένας λόγος για μια κανονική εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια εφαρμογή που έχει δημιουργηθεί για να συλλέγει δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια αυταπάτη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι διατεθειμένος να δεχτείς τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ξεχωριστή συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε δύνασαι να το δοκιμάσεις με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν αξιοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να κρατάω μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που βασίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θέλεις τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.