Σε περίπτωση που βρίσκεσαι σε αυτό το μέρος, το πιο πιθανό είναι να έχεις δει κάποιο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και απορείς αν το APK που κυκλοφορεί είναι νόμιμο ή μόνο μια προσεγμένη παγίδα needforslotscasino.com.gr. Το ερεύνησα μόνος μου, κατέβασα το αρχείο, το εξέτασα και έκανα ό,τι ακριβώς ακριβώς θα έκανε ένας προσεκτικός χρήστης που δεν σκοπεύει να μετατρέψει το κινητό του σε εκθετήριο malware. Εκείνο που ανακάλυψα με εντύπωσε γιατί η εικόνα που παρουσιάζεται στα social media διαφέρει πολύ από την αλήθεια. Δεν συζητάμε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η προσωπική μου εμπειρία με την εγκατάσταση του APK
Το πρώτο πράγμα που έκανα ήταν να λήψω το αρχείο από την τοποθεσία που προβάλλεται εντονότερα στα μέσα κοινωνικής δικτύωσης. Δεν αξιοποίησα τρίτους συνδέσμους, αλλά τον επίσημο ιστότοπο που αναφέρεται σαφώς στις διαφημίσεις. Το μέγεθος αρχείου του αρχείου ήταν περίπου 80MB, γεγονός που είναι απολύτως φυσιολογικό για μια πλατφόρμα που περιέχει υψηλής ευκρίνειας γραφικά και μια συλλογή παιχνιδιών. Μόλις μετά τη λήψη αρχείου, το Android με ενημέρωσε ότι πρόκειται για άγνωστη προέλευση, πράγμα φυσιολογικό αφού το APK δεν προέρχεται από το Google Play Store. Σε αυτό το σημείο είναι το πρώτο βήμα όπου αρκετοί χρήστες διστάζουν, και εύλογα. Άνοιξα την εγκατάσταση εφαρμογών από εξωτερικές πηγές προσωρινά, έχοντας προηγουμένως πριν απομονώσει τη συσκευή μου από το βασικό μου δίκτυο και απενεργοποιήσει προσωρινά οποιαδήποτε εφαρμογή τραπεζικής ή προσωπικών δεδομένων. Η διαδικασία εγκατάστασης έγινε ομαλά και χωρίς προβλήματα, δίχως αμφίβολες ειδοποιήσεις ή ερωτήματα που να ξεφεύγουν από τα συνηθισμένα. Το εικονίδιο εμφανίστηκε γρήγορα στην οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν εξίσου ταχύ, δίχως υστερήσεις ή σφάλματα που θα μπορούσαν να υποδεικνύουν κακόβουλη συμπεριφορά στο υπόβαθρο.
Εντούτοις, αυτό που με ανησύχησε είναι ότι η εφαρμογή χρειάστηκε ευθύς αμέσως μια σειρά από προσβάσεις κατά την πρώτη έναρξη, τα που δεν εξηγούνται άμεσα για ένα social casino παιχνίδι. Για παράδειγμα, απαίτησε άδεια στην τοποθεσία, κάτι που είναι συχνά σημάδι για γεωγραφική στόχευση, αλλά και για περισσότερο αμφίβολες ενέργειες. Επίσης, ζήτησε άδεια να ελέγχει την κατάσταση του κινητού και, σε ύστερο χρόνο, να αποστέλλει ενημερώσεις ακόμη και όταν η εφαρμογή δεν είναι σε λειτουργία. Αυτό το πρότυπο είναι κλασικό για κακόβουλο λογισμικό και για εφαρμογές που επιθυμούν να καταγράφουν την δραστηριότητα του χρήστη μακριά από της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app χρησιμοποιεί καταχρηστικά αυτές τις άδειες, αλλά η ζήτηση τους είναι ένα σαφές μειονέκτημα που οφείλει να εξεταστεί προσεκτικά. Η προσωπική μου εμπειρία συνεχίστηκε με την πλοήγηση στη βιβλιοθήκη παιχνιδιών, η οποία ήταν εντυπωσιακά πλούσια, αλλά το ζήτημα είναι ζήτημα που θα αναπτύξω σε διαφορετικό τμήμα.
Σύγκριση παρεμφερείς εφαρμογές social καζίνο
Για να αποκτήσω ένα κριτήριο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο δημοφιλείς εφαρμογές social καζίνο που είναι διαθέσιμες στο Google Play Store, όπως είναι το Slotomania και το House of Fun. Η διαφορά είναι χαοτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από σημαντικές εταιρείες, έχουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο σημαντικό, δεν ζητούν ποτέ δικαιώματα που υπερβαίνουν τα απολύτως απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την αντίθετη πλευρά, φαίνεται να λειτουργεί σε μια γκρίζα ζώνη, προσφέροντας μια αίσθηση που αντιγράφει το κανονικό online καζίνο, αλλά δίχως το κανονιστικό πλαίσιο και τους εποπτείες που απαιτούνται από τις επίσημες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια ξεκάθαρη έλλειψη επαγγελματισμού στη διαχείριση των δεδομένων.
Αυτό που με ξάφνιασε αρνητικά είναι ότι το Need for Slots app δεν διαθέτει κανένα σύστημα γονικού ελέγχου ή φραγμού εισόδου για παιδιά, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που ενσωματώνουν age gates και επαλήθευση ηλικίας. Επίσης, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από έναν ανεξάρτητο οργανισμό, κάτι που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό υποδηλώνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει απασχολημένο. Από την οπτική ενός αναλυτή, η εφαρμογή μοιάζει περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτομάτως κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που απαιτεί ενισχυμένης προσοχής.
Ανάλυση των προνομίων που απαιτεί η εφαρμογή
Αφού έγινε η εγκατάσταση, ξόδεψα χρόνο για να εξετάσω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσα από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία καθιστά δυνατή στην εφαρμογή να ανοίγει και να γράφει αρχεία σε κοινούς φακέλους. Αυτό σημαίνει ότι έχει τη δυνατότητα θεωρητικά να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να μεταφέρει αυτά τα δεδομένα σε εξ αποστάσεως διακομιστές. Δεν εντόπισα αποδείξεις ότι γίνεται κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να εγείρει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Επιπλέον, η εφαρμογή ζητά “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Αντιθέτως, πρέπει να είμαι αμερόληπτος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και κάνουν χρήση διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει απευθείας τον παίκτη, είναι φυσιολογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η απουσία διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει κάποια πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε ένα κουμπί που να κατευθύνει σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Προέλευση και ψηφιακή υπογραφή του αρχείου
Ένα από τα πιο κρίσιμα στοιχεία που ανέλυσα είναι η ηλεκτρονική υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αναφέρεται σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Ανάλυση ασφαλείας και κακόβουλο λογισμικό
Το επόμενο βήμα ήταν να υποβάλω το APK σε online πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει ενθαρρυντικό, καθώς ούτε ένας από τους σημαντικούς antivirus κινητήρες δεν ανίχνευσε κάποιο οικείο trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν υποδηλώνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά στηρίζονται σε αποτυπώματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Στο σημείο που συγκεντρώθηκα περισσότερο ήταν στην μελέτη της συμπεριφοράς του κώδικα. Διαπίστωσα ότι το Need for Slots app δημιουργεί συνδέσεις προς αρκετούς διακομιστές που δεν ανήκουν σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που αφορούν με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή κατά πάσα πιθανότητα μαζεύει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για προωθητικούς σκοπούς.
Επιπλέον, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά χρησιμοποιούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι λειτουργούν διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που πραγματοποίησα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και διαπίστωσα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια στάση που τοποθετεί την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός αγνού παιχνιδιού. Το δεδομένο ότι δεν υφίσταται επίσημη καταχώριση στο Google Play Store αφαιρεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, παραχωρώντας το βάρος εξ ολοκλήρου στην ατομική κρίση.
Τι είναι σημαντικό να γνωρίζεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν ορισμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην χρησιμοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια τακτική που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποφύγεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να δώσει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να επιθεωρήσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να ακυρώσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, περιοριστεί τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app αποδίδει, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από όλη ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου αφαιρέσει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια πλατφόρμα που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα αξιόπιστο προϊόν. Το στοιχείο ότι παρέχεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια τεράστια ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υφίσταται κανένας λόγος για μια νόμιμη εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια εφαρμογή που έχει κατασκευαστεί για να μαζεύει δεδομένα χρηστών και να τα χρησιμοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η διασκέδαση και είσαι πρόθυμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ξεχωριστή συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το πειραματιστείς με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, φύλαξε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
