Εάν βρίσκεσαι σε αυτό το σημείο, το ενδεχόμενο είναι να έχεις δει ένα βίντεο με πελώρια κέρδη ή έχεις ακούσει για το Need for Slots app και αναρωτιέσαι αν το APK που υπάρχει είναι νόμιμο ή απλώς μια προσεγμένη παγίδα. Το έψαξα μόνος μου, κατέβασα το αρχείο, το ανέλυσα και πραγματοποίησα ό,τι ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν επιθυμεί να γυρίσει το κινητό του σε εκθετήριο malware. Εκείνο που βρήκα με ξάφνιασε γιατί η εικόνα που προβάλλεται στα social media διαφέρει σημαντικά από την πραγματικότητα. Δεν αναφερόμαστε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του λέει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η δοκιμή μου με την εγκατάσταση του APK του APK
Αυτό που έκανα πρώτα που έκανα ήταν να λήψω το αρχείο από την προέλευση που προωθείται εντονότερα στα μέσα κοινωνικής δικτύωσης. Δεν αξιοποίησα τρίτους συνδέσμους, αλλά τον κύριο ιστότοπο που δηλώνεται ρητά στις προωθήσεις. Το μέγεθος αρχείου του αρχείου ήταν γύρω στα 80MB, πράγμα που είναι απολύτως αναμενόμενο για μια app που ενσωματώνει ποιοτικά γραφικά και μια συλλογή παιχνιδιών. Ευθύς αμέσως μετά τη κατέβασμα, το Android με ενημέρωσε ότι είναι για μη αναγνωρισμένη πηγή, πράγμα φυσιολογικό καθώς το APK δεν προέρχεται από το Google Play Store. Αυτό είναι το πρώτο σημείο όπου διάφοροι χρήστες σταματούν, και εύλογα. Ενεργοποίησα προσωρινά την εγκατάσταση εφαρμογών από μη ασφαλείς πηγές προσωρινά, αλλά έχοντας πριν αποκλείσει τη συσκευή από το κεντρικό μου δίκτυο και κλείσει κάθε app τράπεζας ή απόρρητων πληροφοριών. Η εγκατάσταση ολοκληρώθηκε ομαλά, δίχως ύποπτα pop-ups ή απαιτήσεις που να ξεφεύγουν από τα συνηθισμένα. Το εικονίδιο προβλήθηκε αμέσως στην αρχική οθόνη και το εκκίνηση της εφαρμογής ήταν το ίδιο ταχύ, άνευ αργοπορίες ή λάθη που θα μπορούσαν να υποδηλώνουν ύποπτη λειτουργία στο υπόβαθρο.
Ωστόσο, το σημείο που με απασχόλησε είναι ότι η πλατφόρμα ζήτησε ευθύς αμέσως μια ομάδα από δικαιώματα κατά την πρώτη εκτέλεση, τα οποία δεν αιτιολογούνται εύκολα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα χάριν, απαίτησε πρόσβαση στην τοποθεσία μου, κάτι που είναι συχνά σημάδι για γεωγραφικό φιλτράρισμα, αλλά και για επικίνδυνες δράσεις. Ακόμα, ζήτησε δικαίωμα να ελέγχει την κατάσταση του κινητού και, σε ύστερο χρόνο, να προωθεί push notifications ακόμα και όταν η πλατφόρμα δεν είναι ενεργή. Αυτό το μοτίβο είναι συνηθισμένο για διαφημιστικό λογισμικό και για συστήματα που σκοπεύουν να καταγράφουν την συμπεριφορά του χρήστη μακριά από της εφαρμογής. Δεν λέω ότι το Need for Slots app κάνει κατάχρηση αυτές τις άδειες, αλλά η αίτηση τους είναι ένα ξεκάθαρο μειονέκτημα που χρειάζεται να ληφθεί σοβαρά υπόψη. Η προσωπική μου εμπειρία συνεχίστηκε με την περιήγηση στη λίστα παιχνιδιών, η όποια ήταν εντυπωσιακά μεγάλη, αλλά αυτό είναι ζήτημα που θα αναλύσω σε επόμενο κεφάλαιο.
Εξέταση ασφαλείας και επικίνδυνο λογισμικό
Το επακόλουθο βήμα ήταν να στείλω το APK σε online πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ανακουφιστικό, καθώς μηδέν από τους σημαντικούς antivirus κινητήρες δεν εντόπισε κάποιο γνωστό trojan, ransomware ή spyware. Εντούτοις, αυτό δεν σημαίνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά εδράζονται σε υπογραφές γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Στο σημείο που επικεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Διαπίστωσα ότι το Need for Slots app εγκαθιστά συνδέσεις προς πολλούς διακομιστές που δεν ανήκουν σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που αφορούν με affiliate marketing και aggregated data analytics. Αυτό υπονοεί ότι η εφαρμογή πιθανότατα συλλέγει δεδομένα χρήσης και τα διαμοιράζεται με τρίτους για προωθητικούς σκοπούς.
Πρόσθετα, ανέλυσα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά σημάδι ότι λειτουργούν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που διεξήγαγα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε εκτελέσει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια δράση που τοποθετεί την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το δεδομένο ότι δεν υπάρχει επίσημη καταχώρηση στο Google Play Store αφαιρεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, παραχωρώντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Προέλευση και ηλεκτρονική υπογραφή του πακέτου
Ένα από τα περισσότερο ουσιώδη θέματα που μελέτησα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι σύνηθες για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Αντιπαραβολή παρεμφερείς εφαρμογές social καζίνο
Για να έχω ένα σημείο σύγκρισης, εξέτασα παράλληλα ορισμένες από τις πιο διαδεδομένες εφαρμογές κοινωνικών καζίνο που είναι διαθέσιμες στο Google Play Store, όπως το Slotomania και το House of Fun. Η απόσταση είναι τεράστια. Αυτές οι εφαρμογές είναι υποστηριζόμενες από μεγάλες εταιρείες, παρέχουν αναλυτικές πολιτικές απορρήτου, και το πιο ουσιώδες, δεν απαιτούν ποτέ προνόμια που ξεπερνούν τα απόλυτα απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη, μοιάζει να δραστηριοποιείται σε μια γκρίζα ζώνη, προσφέροντας μια αίσθηση που απομιμείται το αυθεντικό online καζίνο, αλλά χωρίς το ρυθμιστικό πλαίσιο και τους περιορισμούς που επιβάλλονται από τις νόμιμες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά φανερώνει μια ξεκάθαρη στέρηση επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει κανένα σύστημα γονικού ελέγχου ή περιορισμού πρόσβασης για ανηλίκους, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από έναν ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό υποδηλώνει ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την σκοπιά ενός ειδικού, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά αναμφίβολα την τοποθετεί σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Ανάλυση των δικαιωμάτων που αιτείται η εφαρμογή
Μετά που ολοκληρώθηκε η εγκατάσταση, αφιέρωσα χρόνο για να εξετάσω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσα από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία καθιστά δυνατή στην εφαρμογή να διαβάζει και να γράφει αρχεία σε δημόσιους φακέλους. Αυτό υπονοεί ότι μπορεί υποθετικά να σαρώσει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να ανεβάζει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν ανακάλυψα τεκμήρια ότι συμβαίνει κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι επαρκής για να προκαλέσει κόκκινες σημαίες σε οποιοδήποτε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή αιτείται “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να δημιουργούν έσοδα. Το λήψη εφαρμογής καζίνο need for slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι λογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται μια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Αν έχεις φτάσει μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε κάποια βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το αρχικό και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια συνήθεια που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Έπειτα, πρέπει να επιθεωρήσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να τοποθετήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να θυμάσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Απόλυτη ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου κλέψει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια πλατφόρμα που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα έμπιστο προϊόν. Το γεγονός ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της παραβιάζει τους όρους χρήσης ή αν δεν δύναται να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια εφαρμογή που έχει σχεδιαστεί για να συλλέγει δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, προσφέροντας σε αντάλλαγμα μια αυταπάτη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι έτοιμος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ανεξάρτητη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε μπορείς να το πειραματιστείς με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν αξιοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να κρατάω μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
