Αν βρίσκεσαι σε αυτό το σημείο, το πιο πιθανό είναι να είδες ήδη ένα βίντεο με πελώρια κέρδη ή άκουσες για το Need for Slots app και απορείς αν το APK που κυκλοφορεί είναι κανονικό ή μόνο μια επιμελημένη παγίδα https://needforslotscasino.com.gr/app/. Το ερεύνησα προσωπικά, κατέβασα το αρχείο, το εξέτασα και πραγματοποίησα αυτό που ακριβώς θα πραγματοποιούσε ένας προσεκτικός χρήστης που δεν σκοπεύει να γυρίσει το κινητό του σε βιτρίνα malware. Το γεγονός που βρήκα με εντύπωσε γιατί η εικόνα που παρουσιάζεται στα social media απέχει πολύ από την πραγματικότητα. Δεν αναφερόμαστε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του λέει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο περίπλοκη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να ξέρεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και δίχως να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η εμπειρία μου με την εγκατάσταση του APK του APK
Αρχικά που έκανα ήταν να λήψω το αρχείο από την πηγή που προβάλλεται περισσότερο στα social media. Δεν αξιοποίησα άλλες πηγές, αλλά τον κύριο ιστότοπο που αναφέρεται ξεκάθαρα στις αγγελίες. Το όγκο του αρχείου ήταν περίπου 80MB, κάτι που είναι εντελώς συνηθισμένο για μια app που περιέχει ποιοτικά γραφικά και μια λίστα παιχνιδιών. Αμέσως μετά τη κατέβασμα, το Android με ενημέρωσε ότι αποτελεί για άγνωστη προέλευση, γεγονός λογικό αφού το APK δεν προέρχεται από από το Google Play Store. Αυτό είναι το πρώτο σημείο όπου διάφοροι χρήστες παγώνουν, και εύλογα. Ενεργοποίησα την εγκατάσταση εφαρμογών από εξωτερικές πηγές προσωρινά, έχοντας προηγουμένως προηγουμένως αποκλείσει τη κινητό μου από το κύριο δίκτυο μου και απενεργοποιήσει οποιαδήποτε τραπεζική εφαρμογή ή προσωπικών δεδομένων. Η διαδικασία ολοκληρώθηκε ομαλά, άνευ ύποπτα pop-ups ή ερωτήματα που να διαφέρουν από τα τυπικά. Το εικονίδιο της εφαρμογής εμφανίστηκε γρήγορα στην επιφάνεια εργασίας και το άνοιγμα της εφαρμογής ήταν εξίσου άμεσο, χωρίς καθυστερήσεις ή λάθη που θα μπορούσαν να δείχνουν επικίνδυνη δράση στο παρασκήνιο.
Ωστόσο, αυτό που με ανησύχησε είναι ότι η πλατφόρμα απαίτησε αμέσως μια σειρά από δικαιώματα κατά την πρώτη έναρξη, τα όποια δεν δικαιολογούνται άμεσα για ένα social casino παιχνίδι. Για παράδειγμα χάριν, ζήτησε πρόσβαση στην τοποθεσία μου, πράγμα που είναι συχνά σημάδι για γεωγραφικό φιλτράρισμα, αλλά και για περισσότερο αμφίβολες ενέργειες. Επιπλέον, απαίτησε δικαίωμα να βλέπει την κατάσταση της συσκευής και, σε ύστερο χρόνο, να προωθεί ειδοποιήσεις push ακόμα κι όταν η εφαρμογή δεν είναι ενεργή. Αυτό το πρότυπο είναι κλασικό για adware και για συστήματα που σκοπεύουν να επιβλέπουν την δράση του παίκτη εκτός της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app καταχράται αυτές τις άδειες, αλλά η απαίτηση τους είναι ένα προφανές αρνητικό που χρειάζεται να αξιολογηθεί δεόντως. Η δοκιμή μου προχώρησε με την πλοήγηση στη συλλογή παιχνιδιών, η όποια ήταν εντυπωσιακά μεγάλη, αλλά αυτό το θέμα είναι θέμα που θα αναλύσω σε επόμενο κεφάλαιο.
Αντιπαραβολή αντίστοιχες εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να έχω ένα κριτήριο σύγκρισης, εξέτασα παράλληλα μερικές από τις πιο δημοφιλείς εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι προσβάσιμες στο Google Play Store, όπως είναι το Slotomania και το House of Fun. Η απόκλιση είναι συντριπτική. Αυτές οι εφαρμογές είναι υπογεγραμμένες από μεγάλες εταιρείες, έχουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο βασικό, δεν απαιτούν ποτέ προνόμια που ξεπερνούν τα απολύτως απαραίτητα για την λειτουργία του παιχνιδιού. Το Need for Slots app, από την αντίθετη πλευρά, δείχνει να δραστηριοποιείται σε μια γκρίζα ζώνη, παρουσιάζοντας μια εμπειρία που απομιμείται το κανονικό online καζίνο, αλλά χωρίς το ρυθμιστικό πλαίσιο και τους ελέγχους που απαιτούνται από τις νόμιμες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι απαραίτητα επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια σαφή έλλειψη επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει κανένα απολύτως σύστημα γονικού ελέγχου ή αποκλεισμού πρόσβασης για παιδιά, σε αντίθεση με τις παρόμοιες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Επιπλέον, οι συστήματα τυχαιότητας (RNG) δεν είναι επικυρωμένοι από έναν ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Προέλευση και ηλεκτρονική υπογραφή του πακέτου
Ένα από τα περισσότερο σημαντικά στοιχεία που ανέλυσα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Μελέτη των δικαιωμάτων που αιτείται η εφαρμογή
Αφού τελείωσε η εγκατάσταση, αφιέρωσα χρόνο για να εξετάσω λεπτομερώς τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσω των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία επιτρέπει στην εφαρμογή να διαβάζει και να αποθηκεύει αρχεία σε κοινόχρηστους φακέλους. Αυτό σημαίνει ότι έχει τη δυνατότητα κατ’ αρχήν να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν έχουν σχέση με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υφίσταται η τεχνική δυνατότητα να μεταφέρει αυτά τα δεδομένα σε μακρινούς διακομιστές. Δεν βρήκα αποδείξεις ότι συμβαίνει κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Επιπλέον, η εφαρμογή ζητά “read phone state”, που εμπεριέχει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι κοινά σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει απευθείας τον παίκτη, είναι εύλογο να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται κάποια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε ένα κουμπί που να οδηγεί σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης παρέχει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Ανάλυση ασφαλείας και βλαβερό λογισμικό
Το επόμενο βήμα ήταν να καταθέσω το APK σε ηλεκτρονικές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει ανακουφιστικό, καθώς κανένας από τους κύριους antivirus κινητήρες δεν εντόπισε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν υποδηλώνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά εδράζονται σε αποτυπώματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να περάσει απαρατήρητο. Σε αυτό που επικεντρώθηκα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app καθιερώνει συνδέσεις προς πολλούς διακομιστές που δεν υπάγονται σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που σχετίζονται με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή πιθανότατα μαζεύει δεδομένα χρήσης και τα διαμοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Επίσης, ανέλυσα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά χρησιμοποιούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι εκτελούνται διεργασίες ελέγχου ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που διεξήγαγα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε εκτελέσει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς διαφημιστικά δίκτυα. Αυτό δεν είναι αθέμιτο, αλλά είναι μια συμπεριφορά που κατατάσσει την εφαρμογή περισσότερο στην τάξη του adware παρά σε αυτή ενός αγνού παιχνιδιού. Το περιστατικό ότι δεν υφίσταται επίσημη καταχώριση στο Google Play Store στερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, εναποθέτοντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Τι είναι σημαντικό να γνωρίζεις πριν την εγκατάσταση
Αν έχεις φτάσει μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν κάποια βήματα που πρέπει απαραίτητα να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να φτιάξεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Έπειτα, πρέπει να επιθεωρήσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να απενεργοποιήσεις ό,τι δεν είναι απόλυτα απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ενοχλητικές ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να τοποθετήσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από όλη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την εισαγωγική εκκίνηση, αλλά ούτε και μια εφαρμογή που καλύπτει τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα ασφαλές προϊόν. Το δεδομένο ότι παρέχεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν είναι καλά. Δεν υφίσταται κανένας λόγος για μια επίσημη εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια εφαρμογή που έχει δημιουργηθεί για να αποκτά δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η απόλαυση και είσαι έτοιμος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ανεξάρτητη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το ελέγξεις με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να διατηρώ μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θέλεις τη γνώμη μου, κράτα το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.