Σε περίπτωση που βρίσκεσαι σε αυτό το μέρος, το πιθανότερο είναι ότι είδες ήδη κάποιο βίντεο με πελώρια κέρδη ή έχεις μάθει για το Need for Slots app και διερωτάσαι αν το APK που κυκλοφορεί είναι νόμιμο ή απλώς μια καλοστημένη παγίδα. Το έψαξα μόνος μου, λήφθηκε το αρχείο, το εξέτασα και έκανα ό,τι ακριβώς ακριβώς θα πραγματοποιούσε ένας διστακτικός χρήστης που δεν επιθυμεί να κάνει το κινητό του σε εκθετήριο malware. Αυτό που βρήκα με εξέπληξε γιατί η εικόνα που παρουσιάζεται στα social media απέχει παρασάγγας από την αλήθεια. Δεν συζητάμε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται είσοδο σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του λέει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και δίχως να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Σύγκριση αντίστοιχες εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να έχω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα μερικές από τις πιο γνωστές εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι υπάρχουν στο Google Play Store, όπως το Slotomania και το House of Fun. Η διαφορά είναι συντριπτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από σημαντικές εταιρείες, έχουν αναλυτικές πολιτικές απορρήτου, και το πιο ουσιώδες, δεν απαιτούν ποτέ άδειες που υπερβαίνουν τα απολύτως απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη, δείχνει να λειτουργεί σε μια ασαφή ζώνη, προσφέροντας μια εμπειρία που μιμείται το κανονικό online καζίνο, αλλά χωρίς το θεσμικό πλαίσιο και τους περιορισμούς που επιβάλλονται από τις νόμιμες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια ξεκάθαρη έλλειψη επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα σύστημα γονεϊκού ελέγχου ή αποκλεισμού πρόσβασης για ανηλίκους, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Επίσης, οι συστήματα τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από έναν αμερόληπτο οργανισμό, πράγμα που είναι τυποποιημένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την οπτική γωνία ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτομάτως επικίνδυνη, αλλά σίγουρα την κατατάσσει σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Προέλευση και ψηφιακή υπογραφή του προγράμματος
Ένα από τα περισσότερο κρίσιμα θέματα που ανέλυσα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν συγκεκριμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να κατασκευάσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να απαιτήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Έπειτα, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απόλυτα απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να θυμάσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα απατηλή ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Μελέτη των δικαιωμάτων που ζητά η εφαρμογή
Μετά που ολοκληρώθηκε η εγκατάσταση, αφιέρωσα χρόνο για να εξετάσω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσα από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να ανοίγει και να γράφει αρχεία σε δημόσιους φακέλους. Αυτό σημαίνει ότι έχει τη δυνατότητα θεωρητικά να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υφίσταται η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν βρήκα τεκμήρια ότι λαμβάνει χώρα κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε κάθε έλεγχο ασφαλείας. Επιπλέον, η εφαρμογή απαιτεί “read phone state”, που συμπεριλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη δημιουργία διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι αμερόληπτος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και αξιοποιούν διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι εύλογο να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται μια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης παρέχει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Η εμπειρία μου με την εγκατάσταση της εφαρμογής του APK
Το πρώτο πράγμα που έκανα ήταν να φορτώσω το αρχείο από την τοποθεσία που προωθείται εντονότερα στα κοινωνικά δίκτυα. Δεν αξιοποίησα τρίτους συνδέσμους, αλλά τον κύριο ιστότοπο που αναφέρεται ρητά στις προωθήσεις. Το μέγεθος αρχείου του αρχείου ήταν περίπου 80MB, γεγονός που είναι πλήρως φυσιολογικό για μια εφαρμογή που διαθέτει γραφικά υψηλής ανάλυσης και μια λίστα παιχνιδιών. Ευθύς αμέσως μετά τη κατέβασμα, το Android με ειδοποίησε ότι είναι για άγνωστη προέλευση, κάτι αναμενόμενο επειδή το APK δεν λαμβάνεται από το Google Play Store. Σε αυτό το σημείο είναι το αρχικό στάδιο όπου αρκετοί χρήστες διστάζουν, και εύλογα. Ενεργοποίησα προσωρινά την εγκατάσταση από άγνωστες πηγές για λίγο, έχοντας προηγουμένως εκ των προτέρων αποσυνδέσει τη συσκευή μου από το κύριο δίκτυο μου και απενεργοποιήσει προσωρινά οποιαδήποτε εφαρμογή τραπεζικής ή ευαίσθητων δεδομένων. Η διαδικασία τελείωσε ομαλά και χωρίς προβλήματα, χωρίς ύποπτα pop-ups ή ερωτήματα που να διαφέρουν από τα συνηθισμένα. Το εικονίδιο της εφαρμογής εμφανίστηκε άμεσα στην αρχική οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν παρομοίως γρήγορο, χωρίς υστερήσεις ή σφάλματα που θα μπορούσαν να δείχνουν επικίνδυνη δράση στο υπόβαθρο.
Ωστόσο, το σημείο που με απασχόλησε είναι ότι η app χρειάστηκε άμεσα μια σειρά από προσβάσεις κατά την αρχική λειτουργία, τα όποια δεν εξηγούνται εύκολα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα, απαίτησε δικαίωμα στην τοποθεσία μου, πράγμα που είναι συχνά δείγμα για γεωγραφικό περιορισμό, αλλά και για περισσότερο αμφίβολες ενέργειες. Ακόμα, ζήτησε πρόσβαση να βλέπει την κατάσταση της συσκευής και, σε επόμενο βήμα, να προωθεί ειδοποιήσεις push ακόμα κι όταν η εφαρμογή δεν είναι σε λειτουργία. Αυτή η συμπεριφορά είναι τυπικό για διαφημιστικό λογισμικό και για εφαρμογές που σκοπεύουν να παρακολουθούν την δράση του ατόμου μακριά από της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app καταχράται τα εν λόγω δικαιώματα, αλλά η αίτηση τους είναι ένα προφανές αρνητικό που πρέπει να αξιολογηθεί δεόντως. Η δοκιμή μου εξελίχθηκε με την πλοήγηση στη βιβλιοθήκη παιχνιδιών, η οποία ήταν εντυπωσιακά πλούσια, αλλά το ζήτημα είναι σημείο που θα αναπτύξω σε άλλη ενότητα.
Τελική ετυμηγορία: έχει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την εισαγωγική εκκίνηση, αλλά ούτε και μια πλατφόρμα που καλύπτει τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα έμπιστο προϊόν needforslotscasino.com.gr. Το στοιχείο ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν δύναται να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια εφαρμογή που έχει σχεδιαστεί για να συλλέγει δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι πρόθυμος να δεχτείς τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ανεξάρτητη συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε μπορείς να το δοκιμάσεις με σχετική ασφάλεια. Δεν συνιστώ όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η στέρηση διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να έχω μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, φύλαξε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
Ανάλυση ασφαλείας και κακόβουλο λογισμικό
Το επόμενο βήμα ήταν να υποβάλω το APK σε διαδικτυακές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ανακουφιστικό, καθώς κανένας από τους μεγάλους antivirus κινητήρες δεν ανακάλυψε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Εντούτοις, αυτό δεν υποδηλώνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά βασίζονται σε δείγματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Σε αυτό που συγκεντρώθηκα περισσότερο ήταν στην μελέτη της συμπεριφοράς του κώδικα. Είδησα ότι το Need for Slots app εγκαθιστά συνδέσεις προς διάφορους διακομιστές που δεν σχετίζονται σε κάποια αναγνωρισμένη εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που αφορούν με affiliate marketing και aggregated data analytics. Αυτό υποδηλώνει ότι η εφαρμογή μάλλον συγκεντρώνει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για προωθητικούς σκοπούς.
Πρόσθετα, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι εκτελούνται διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που διεξήγαγα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια συμπεριφορά που εντάσσει την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το γεγονός ότι δεν υπάρχει επίσημη εγγραφή στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, εναποθέτοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.