Σε περίπτωση που έφτασες σε αυτό το στάδιο, το ενδεχόμενο είναι ότι έχεις ήδη δει κάποιο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το need for slots λήψη εφαρμογής καζίνο app και απορείς αν το APK που υπάρχει είναι νόμιμο ή απλά μια επιμελημένη παγίδα. Το εξέτασα μόνος μου, κατέβασα το αρχείο, το εξέτασα και πραγματοποίησα αυτό που ακριβώς θα πραγματοποιούσε ένας επιφυλακτικός χρήστης που δεν θέλει να κάνει το κινητό του σε εκθετήριο malware. Το γεγονός που βρήκα με ξάφνιασε γιατί η εικόνα που παρουσιάζεται στα social media διαφέρει σημαντικά από την αλήθεια. Δεν συζητάμε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του λέει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και δίχως να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Αν έχεις φτάσει μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, θα βρεις ορισμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να περιορίσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην χρησιμοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να φτιάξεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να απαιτήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να προσφέρει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να εξετάσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι εντελώς απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ενοχλητικές ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που εμφανίζεται στις διαφημίσεις.
Η προσωπική μου εμπειρία με την εγκατάσταση του APK του APK
Αυτό που έκανα πρώτα που έκανα ήταν να φορτώσω το αρχείο από την προέλευση που διαφημίζεται περισσότερο στα μέσα κοινωνικής δικτύωσης. Δεν επέλεξα άλλες πηγές, αλλά τον επίσημο ιστότοπο που αναγράφεται σαφώς στις αγγελίες. Το όγκο του αρχείου ήταν περίπου 80MB, πράγμα που είναι απολύτως αναμενόμενο για μια app που ενσωματώνει γραφικά υψηλής ανάλυσης και μια συλλογή παιχνιδιών. Αμέσως μετά τη κατέβασμα, το Android με ειδοποίησε ότι αποτελεί για μη αναγνωρισμένη πηγή, κάτι αναμενόμενο αφού το APK δεν λαμβάνεται από το Google Play Store. Αυτό είναι το αρχικό στάδιο όπου αρκετοί χρήστες παγώνουν, και σωστά. Ενεργοποίησα προσωρινά την εγκατάσταση εφαρμογών από εξωτερικές πηγές προσωρινά, αλλά έχοντας προηγουμένως αποκλείσει τη συσκευή μου από το κύριο δίκτυο μου και κλείσει οποιαδήποτε εφαρμογή τραπεζικής ή προσωπικών δεδομένων. Η εγκατάσταση ολοκληρώθηκε ομαλά, δίχως ύποπτα αναδυόμενα παράθυρα ή ερωτήματα που να αποκλίνουν από τα κανονικά. Το σύμβολο φάνηκε άμεσα στην οθόνη και το εκκίνηση της εφαρμογής ήταν παρομοίως γρήγορο, δίχως καθυστερήσεις ή λάθη που θα ενδέχεται να δείχνουν κακόβουλη συμπεριφορά στο υπόβαθρο.
Εντούτοις, το σημείο που με απασχόλησε είναι ότι η app ζήτησε αμέσως μια ομάδα από δικαιώματα κατά την πρώτη έναρξη, τα που δεν αιτιολογούνται άμεσα για ένα παιχνίδι καζίνο. Για παράδειγμα χάριν, απαίτησε δικαίωμα στην θέση μου, κάτι που είναι συχνά σημάδι για γεωγραφική στόχευση, αλλά και για επικίνδυνες δράσεις. Ακόμα, αιτήθηκε πρόσβαση να διαβάζει την κατάσταση της συσκευής και, σε μεταγενέστερο στάδιο, να στέλνει ειδοποιήσεις push ακόμα και όταν η app δεν είναι σε λειτουργία. Αυτό το πρότυπο είναι κλασικό για διαφημιστικό λογισμικό και για πλατφόρμες που επιθυμούν να καταγράφουν την δράση του ατόμου εκτός της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app καταχράται τα εν λόγω δικαιώματα, αλλά η αίτηση τους είναι ένα προφανές αρνητικό που πρέπει να αξιολογηθεί δεόντως. Η δοκιμή μου εξελίχθηκε με την εξερεύνηση στη βιβλιοθήκη παιχνιδιών, η που ήταν εντυπωσιακά μεγάλη, αλλά το ζήτημα είναι θέμα που θα αναλύσω σε άλλη ενότητα.
Προέλευση και ηλεκτρονική υπογραφή του αρχείου
Ένα από τα εξαιρετικά κρίσιμα στοιχεία που ανέλυσα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Σύγκριση παρόμοιες εφαρμογές social καζίνο
Για να έχω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα ορισμένες από τις πιο δημοφιλείς εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι προσβάσιμες στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η διαφορά είναι τεράστια. Αυτές οι εφαρμογές είναι υπογεγραμμένες από μεγάλες εταιρείες, διαθέτουν πλήρεις πολιτικές απορρήτου, και το πιο σημαντικό, δεν απαιτούν ποτέ δικαιώματα που υπερβαίνουν τα απόλυτα απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη, φαίνεται να δραστηριοποιείται σε μια γκρίζα ζώνη, προσφέροντας μια αίσθηση που αντιγράφει το πραγματικό online καζίνο, αλλά δίχως το κανονιστικό πλαίσιο και τους εποπτείες που απαιτούνται από τις επίσημες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά υποδεικνύει μια εμφανή στέρηση επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει κανένα απολύτως σύστημα γονικού ελέγχου ή φραγμού εισόδου για ανήλικους χρήστες, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που περιλαμβάνουν age gates και επαλήθευση ηλικίας. Επιπλέον, οι συστήματα τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό υποδηλώνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει απασχολημένο. Από την οπτική γωνία ενός ειδικού, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτόματα κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Ανάλυση ασφαλείας και κακόβουλο λογισμικό
Το αμέσως επόμενο βήμα ήταν να καταθέσω το APK σε online πλατφόρμες ελέγχου κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους κύριους antivirus κινητήρες δεν ανίχνευσε κάποιο γνωστό trojan, ransomware ή spyware. Ωστόσο, αυτό δεν συνεπάγεται ότι το αρχείο είναι απολύτως “καθαρό”. Οι συστήματα ανίχνευσης συχνά βασίζονται σε υπογραφές γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Σε αυτό που εστίασα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Διαπίστωσα ότι το Need for Slots app δημιουργεί συνδέσεις προς διάφορους διακομιστές που δεν υπάγονται σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που σχετίζονται με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή μάλλον μαζεύει δεδομένα χρήσης και τα μοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Επίσης, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι τρέχουν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που διεξήγαγα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι αθέμιτο, αλλά είναι μια συμπεριφορά που κατατάσσει την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το γεγονός ότι δεν υφίσταται επίσημη καταχώριση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην προσωπική κρίση.
Ανάλυση των δικαιωμάτων που αιτείται η εφαρμογή
Αφού ολοκληρώθηκε η εγκατάσταση, ξόδεψα χρόνο για να εξετάσω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσα από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να βλέπει και να αποθηκεύει αρχεία σε κοινούς φακέλους. Αυτό υποδηλώνει ότι μπορεί θεωρητικά να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν έχουν σχέση με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να ανεβάζει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν βρήκα αποδείξεις ότι λαμβάνει χώρα κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι επαρκής για να σηκώσει κόκκινες σημαίες σε κάθε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή ζητά “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Αντιθέτως, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι λογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η απουσία διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται κάποια πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε κάποιο κουμπί που να παραπέμπει σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Οριστική ετυμηγορία: αξίζει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου κλέψει τους κωδικούς τραπέζης με την εισαγωγική εκκίνηση, αλλά ούτε και μια πλατφόρμα που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα ανέμενε κανείς από ένα ασφαλές προϊόν. Το γεγονός ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια επίσημη εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια εφαρμογή που έχει κατασκευαστεί για να συλλέγει δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι έτοιμος να δεχτείς τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε μπορείς να το ελέγξεις με σχετική ασφάλεια. Δεν συμβουλεύω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν χρησιμοποιείς εφαρμογές mobile banking. Η απουσία διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να έχω μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, φύλαξε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
