Εάν βρίσκεσαι σε αυτό το μέρος, το πιο πιθανό είναι πως έχεις ήδη δει κάποιο βίντεο με τεράστια κέρδη ή άκουσες για το Need for Slots λήψη εφαρμογής καζίνο app και αναρωτιέσαι αν το APK που διακινείται είναι νόμιμο ή απλώς μια προσεγμένη παγίδα. Το ερεύνησα προσωπικά, λήφθηκε το αρχείο, το ανέλυσα και έκανα ό,τι ακριβώς ακριβώς θα πραγματοποιούσε ένας διστακτικός χρήστης που δεν επιθυμεί να μετατρέψει το κινητό του σε εκθετήριο malware. Αυτό που ανακάλυψα με ξάφνιασε γιατί η εικόνα που εμφανίζεται στα social media απέχει σημαντικά από την πραγματικότητα. Δεν συζητάμε για ένα κοινό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να ξέρεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Ανάλυση ασφαλείας και κακόβουλο λογισμικό
Το αμέσως επόμενο βήμα ήταν να στείλω το APK σε online πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει καθησυχαστικό, καθώς μηδέν από τους σημαντικούς antivirus κινητήρες δεν ανίχνευσε κάποιο αναγνωρισμένο trojan, ransomware ή spyware. Ωστόσο, αυτό δεν σημαίνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι συστήματα ανίχνευσης συχνά βασίζονται σε δείγματα γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Στο σημείο που συγκεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app δημιουργεί συνδέσεις προς πολλούς διακομιστές που δεν ανήκουν σε κάποια αναγνωρισμένη εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που συνδέονται με affiliate marketing και aggregated data analytics. Αυτό υπονοεί ότι η εφαρμογή πιθανότατα μαζεύει δεδομένα χρήσης και τα διαμοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Πρόσθετα, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι λειτουργούν διεργασίες ελέγχου ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που διεξήγαγα, κράτησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και παρατήρησα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια στάση που τοποθετεί την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός απλού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώριση στο Google Play Store στερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που δίνει το Play Protect, παραχωρώντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Αντιπαραβολή παρόμοιες εφαρμογές social καζίνο
Για να έχω ένα σημείο σύγκρισης, δοκίμασα παράλληλα ορισμένες από τις πιο διαδεδομένες εφαρμογές social καζίνο που είναι υπάρχουν στο Google Play Store, όπως το Slotomania και το House of Fun. Η απόκλιση είναι τεράστια. Αυτές οι εφαρμογές είναι υπογεγραμμένες από σημαντικές εταιρείες, διαθέτουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο ουσιώδες, δεν ζητούν ποτέ δικαιώματα που είναι πέρα από τα απόλυτα απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, φαίνεται να κινείται σε μια αμφίβολη ζώνη, προσφέροντας μια αίσθηση που μιμείται το κανονικό online καζίνο, αλλά άνευ το θεσμικό πλαίσιο και τους περιορισμούς που απαιτούνται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά υποδεικνύει μια ξεκάθαρη στέρηση επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.
Αυτό που με ξάφνιασε αρνητικά είναι ότι το Need for Slots app δεν έχει κανένα σύστημα γονικού ελέγχου ή περιορισμού πρόσβασης για παιδιά, σε αντίθεση με τις συναφείς εφαρμογές του Play Store που περιλαμβάνουν age gates και επιβεβαίωση ηλικίας. Επίσης, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την σκοπιά ενός ειδικού, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτομάτως επικίνδυνη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Προέλευση και ηλεκτρονική υπογραφή του πακέτου
Ένα από τα εξαιρετικά σημαντικά σημεία που μελέτησα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Εξέταση των προνομίων που αιτείται η εφαρμογή
Όταν ολοκληρώθηκε η εγκατάσταση, ξόδεψα χρόνο για να ελέγξω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να ανοίγει και να αποθηκεύει αρχεία σε δημόσιους φακέλους. Αυτό υποδηλώνει ότι είναι ικανή υποθετικά να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν ανακάλυψα τεκμήρια ότι γίνεται κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι αρκετή για να σηκώσει κόκκινες σημαίες σε οποιοδήποτε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή αιτείται “read phone state”, που περιλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Αντιθέτως, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που στηρίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι φυσιολογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει μια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να οδηγεί σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Η προσωπική μου εμπειρία με την εγκατάσταση της εφαρμογής του APK
Αρχικά που έκανα ήταν να φορτώσω το αρχείο από την προέλευση που διαφημίζεται περισσότερο στα μέσα κοινωνικής δικτύωσης. Δεν αξιοποίησα εξωτερικές συνδέσεις, αλλά τον κύριο ιστότοπο που αναγράφεται ρητά στις διαφημίσεις. Το μέγεθος του αρχείου ήταν γύρω στα 80MB, κάτι που είναι απολύτως συνηθισμένο για μια εφαρμογή που διαθέτει γραφικά υψηλής ανάλυσης και μια βιβλιοθήκη παιχνιδιών. Μόλις μετά τη κατέβασμα, το Android με ενημέρωσε ότι πρόκειται για άγνωστη πηγή, πράγμα φυσιολογικό καθώς το APK δεν λαμβάνεται από το Google Play Store. Σε αυτό το σημείο είναι το πρώτο σημείο όπου διάφοροι χρήστες παγώνουν, και εύλογα. Άνοιξα την εγκατάσταση εφαρμογών από εξωτερικές πηγές για λίγο, αλλά έχοντας εκ των προτέρων αποσυνδέσει τη κινητό μου από το κύριο δίκτυο μου και απενεργοποιήσει προσωρινά όποια app τράπεζας ή προσωπικών δεδομένων. Η διαδικασία εγκατάστασης τελείωσε ομαλά και χωρίς προβλήματα, άνευ ύποπτα pop-ups ή ερωτήματα που να αποκλίνουν από τα τυπικά. Το εικονίδιο προβλήθηκε γρήγορα στην οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν το ίδιο γρήγορο, άνευ υστερήσεις ή λάθη που θα ενδέχεται να υποδηλώνουν κακόβουλη συμπεριφορά στο υπόβαθρο.
Εντούτοις, το σημείο που με απασχόλησε είναι ότι η πλατφόρμα χρειάστηκε ευθύς αμέσως μια σειρά από δικαιώματα κατά την πρώτη εκτέλεση, τα όποια δεν εξηγούνται άμεσα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα χάριν, απαίτησε άδεια στην θέση μου, κάτι που είναι συνήθως σημάδι για γεωγραφικό φιλτράρισμα, αλλά και για επικίνδυνες δράσεις. Ακόμα, αιτήθηκε πρόσβαση να βλέπει την κατάσταση του κινητού και, σε επόμενο βήμα, να αποστέλλει push notifications ακόμα και όταν η εφαρμογή δεν είναι ανοιχτή. Αυτό το μοτίβο είναι κλασικό για κακόβουλο λογισμικό και για πλατφόρμες που θέλουν να παρακολουθούν την συμπεριφορά του ατόμου μακριά από της εφαρμογής. Δεν λέω ότι το Need for Slots app χρησιμοποιεί καταχρηστικά τα εν λόγω δικαιώματα, αλλά η αίτηση τους είναι ένα προφανές αρνητικό που πρέπει να αξιολογηθεί δεόντως. Η δοκιμή μου προχώρησε με την πλοήγηση στη λίστα παιχνιδιών, η οποία ήταν εντυπωσιακά πλούσια, αλλά αυτό το θέμα είναι σημείο που θα εξετάσω σε διαφορετικό τμήμα.
Οριστική ετυμηγορία: αξίζει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα ξεκάθαρο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια υπηρεσία που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα υπολόγιζε κανείς από ένα αξιόπιστο προϊόν. Το δεδομένο ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν είναι καλά. Δεν υπάρχει κανένας λόγος για μια επίσημη εταιρεία να αποφύγει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της παραβιάζει τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια υπηρεσία που έχει κατασκευαστεί για να μαζεύει δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι πρόθυμος να πάρεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε δύνασαι να το δοκιμάσεις με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν χρησιμοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να διατηρώ μια αρνητική στάση. Πρόκειται για μια πλατφόρμα που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε ορισμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην χρησιμοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να κατασκευάσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να απαιτήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Έπειτα, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και ακύρωσε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να ενθυμείσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app λειτουργεί, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που προβάλλεται στις διαφημίσεις.