Εάν έχεις φτάσει σε αυτό το σημείο, το πιο πιθανό είναι ότι έχεις ήδη δει κάποιο βίντεο με τεράστια κέρδη ή έχεις ακούσει για το Need for Slots app και διερωτάσαι αν το APK που υπάρχει είναι νόμιμο ή απλώς μια προσεγμένη παγίδα https://needforslotscasino.com.gr/app. Το εξέτασα προσωπικά, λήφθηκε το αρχείο, το εξέτασα και έκανα αυτό που ακριβώς θα πραγματοποιούσε ένας προσεκτικός χρήστης που δεν επιθυμεί να γυρίσει το κινητό του σε εκθετήριο malware. Το γεγονός που ανακάλυψα με εντύπωσε γιατί η εικόνα που προβάλλεται στα social media απέχει παρασάγγας από την αλήθεια. Δεν αναφερόμαστε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Ωστόσο, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να ξέρεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Ανάλυση των δικαιωμάτων που ζητά η εφαρμογή
Αφού τελείωσε η εγκατάσταση, διέθεσα χρόνο για να ελέγξω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσω των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία επιτρέπει στην εφαρμογή να ανοίγει και να γράφει αρχεία σε δημόσιους φακέλους. Αυτό υπονοεί ότι έχει τη δυνατότητα κατ’ αρχήν να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να μεταφέρει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν βρήκα στοιχεία ότι συμβαίνει κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι ικανή για να σηκώσει κόκκινες σημαίες σε κάθε έλεγχο ασφαλείας. Παράλληλα, η εφαρμογή ζητά “read phone state”, που εμπεριέχει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη ανάπτυξη διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Αντιθέτως, πρέπει να είμαι δίκαιος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι κοινά σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και αξιοποιούν διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι λογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το θέμα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται μια πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε ένα κουμπί που να παραπέμπει σε μια σελίδα με όρους χρήσης. Αυτό με καταλήγει στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Έλεγχος ασφαλείας και βλαβερό λογισμικό
Το αμέσως επόμενο βήμα ήταν να στείλω το APK σε online πλατφόρμες ελέγχου κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ανακουφιστικό, καθώς ούτε ένας από τους σημαντικούς antivirus κινητήρες δεν ανίχνευσε κάποιο οικείο trojan, ransomware ή spyware. Εντούτοις, αυτό δεν υποδηλώνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά εδράζονται σε αποτυπώματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να διαφύγει απαρατήρητο. Εκεί που συγκεντρώθηκα περισσότερο ήταν στην μελέτη της συμπεριφοράς του κώδικα. Είδησα ότι το Need for Slots app εγκαθιστά συνδέσεις προς αρκετούς διακομιστές που δεν ανήκουν σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που συνδέονται με affiliate marketing και aggregated data analytics. Αυτό υποδηλώνει ότι η εφαρμογή κατά πάσα πιθανότητα συλλέγει δεδομένα χρήσης και τα μοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Πρόσθετα, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά απαιτούσε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι εκτελούνται διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που διεξήγαγα, κράτησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια δράση που τοποθετεί την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το περιστατικό ότι δεν υφίσταται επίσημη καταχώριση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ατομική κρίση.
Τι είναι σημαντικό να γνωρίζεις πριν την εγκατάσταση
Αν έχεις φτάσει μέχρι εδώ και σχεδιάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουνε συγκεκριμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το βασικό και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια πρακτική που συμβουλεύω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να απαιτήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να επιθεωρήσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και ακύρωσε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να εξετάσεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app λειτουργεί, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που παρουσιάζεται στις διαφημίσεις.
Σύγκριση με αντίστοιχες εφαρμογές κοινωνικής δικτύωσης καζίνο
Για να έχω ένα κριτήριο σύγκρισης, δοκίμασα παράλληλα κάποιες από τις πιο γνωστές εφαρμογές κοινωνικών καζίνο που είναι προσβάσιμες στο Google Play Store, όπως είναι το Slotomania και το House of Fun. Η διαφορά είναι συντριπτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από μεγάλες εταιρείες, διαθέτουν αναλυτικές πολιτικές απορρήτου, και το πιο ουσιώδες, δεν ζητούν ποτέ δικαιώματα που είναι πέρα από τα εντελώς απαραίτητα για την λειτουργία του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, μοιάζει να κινείται σε μια γκρίζα ζώνη, παρέχοντας μια αίσθηση που απομιμείται το κανονικό online καζίνο, αλλά χωρίς το κανονιστικό πλαίσιο και τους περιορισμούς που επιβάλλονται από τις επίσημες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι απαραίτητα επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά υποδεικνύει μια ξεκάθαρη απουσία επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει οποιοδήποτε σύστημα γονικού ελέγχου ή αποκλεισμού πρόσβασης για παιδιά, σε αντίθεση με τις αντίστοιχες εφαρμογές του Play Store που περιλαμβάνουν age gates και επαλήθευση ηλικίας. Ακόμα, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από έναν ανεξάρτητο οργανισμό, στοιχείο που είναι τυποποιημένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό υποδηλώνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε διατηρήσει δεσμευμένο. Από την σκοπιά ενός ειδικού, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτομάτως κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.
Προέλευση και ψηφιακή υπογραφή του προγράμματος
Ένα από τα περισσότερο ουσιώδη στοιχεία που μελέτησα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με κάποιο πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι σύνηθες για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Η δοκιμή μου με την εγκατάσταση της εφαρμογής του APK
Αρχικά που έκανα ήταν να λήψω το αρχείο από την προέλευση που διαφημίζεται συχνότερα στα κοινωνικά δίκτυα. Δεν χρησιμοποίησα εξωτερικές συνδέσεις, αλλά τον κεντρικό ιστότοπο που αναγράφεται ξεκάθαρα στις διαφημίσεις. Το όγκο του αρχείου ήταν περίπου 80MB, κάτι που είναι πλήρως συνηθισμένο για μια εφαρμογή που περιέχει ποιοτικά γραφικά και μια συλλογή παιχνιδιών. Μόλις μετά τη λήψη, το Android με προειδοποίησε ότι είναι για άγνωστη πηγή, πράγμα φυσιολογικό καθώς το APK δεν προέρχεται από το Google Play Store. Εδώ είναι το αρχικό στάδιο όπου πολλοί χρήστες παγώνουν, και σωστά. Ενεργοποίησα προσωρινά την εγκατάσταση εφαρμογών από εξωτερικές πηγές για λίγο, αλλά έχοντας εκ των προτέρων απομονώσει τη συσκευή από το βασικό μου δίκτυο και κλείσει οποιαδήποτε app τράπεζας ή προσωπικών δεδομένων. Η διαδικασία εγκατάστασης ολοκληρώθηκε χωρίς εμπόδια, άνευ αμφίβολες ειδοποιήσεις ή αιτήματα που να ξεφεύγουν από τα συνηθισμένα. Το σύμβολο φάνηκε γρήγορα στην αρχική οθόνη και το άνοιγμα της εφαρμογής ήταν εξίσου ταχύ, δίχως υστερήσεις ή προβλήματα που θα μπορούσαν να υποδεικνύουν επικίνδυνη δράση στο υπόβαθρο.
Εντούτοις, αυτό που με προβλημάτισε είναι ότι η εφαρμογή χρειάστηκε άμεσα μια σειρά από άδειες κατά την πρώτη έναρξη, τα οποία δεν δικαιολογούνται απλά για ένα παιχνίδι καζίνο. Για παράδειγμα χάριν, ζήτησε άδεια στην τοποθεσία, γεγονός που είναι συνήθως ένδειξη για γεωγραφικό περιορισμό, αλλά και για περισσότερο αμφίβολες ενέργειες. Επίσης, απαίτησε δικαίωμα να διαβάζει την κατάσταση του τηλεφώνου και, σε μεταγενέστερο στάδιο, να αποστέλλει ενημερώσεις ακόμα και όταν η πλατφόρμα δεν είναι σε λειτουργία. Αυτή η συμπεριφορά είναι συνηθισμένο για adware και για εφαρμογές που θέλουν να επιβλέπουν την δράση του ατόμου μακριά από της εφαρμογής. Δεν ισχυρίζομαι ότι το Need for Slots app χρησιμοποιεί καταχρηστικά τα εν λόγω δικαιώματα, αλλά η ζήτηση τους είναι ένα προφανές αρνητικό που χρειάζεται να ληφθεί σοβαρά υπόψη. Η εμπειρία μου συνεχίστηκε με την περιήγηση στη βιβλιοθήκη παιχνιδιών, η όποια ήταν πλούσια σε περιεχόμενο, αλλά αυτό το θέμα είναι ζήτημα που θα εξετάσω σε άλλη ενότητα.
Τελική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την αρχική εκκίνηση, αλλά ούτε και μια υπηρεσία που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα ασφαλές προϊόν. Το στοιχείο ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια σημαντική ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υπάρχει κανένας λόγος για μια κανονική εταιρεία να παρακάμψει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της παραβιάζει τους όρους χρήσης ή αν δεν είναι ικανή να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια υπηρεσία που έχει δημιουργηθεί για να μαζεύει δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η απόλαυση και είσαι διατεθειμένος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ανεξάρτητη συσκευή και χωρίς να προσφέρεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το δοκιμάσεις με σχετική ασφάλεια. Δεν προτείνω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να έχω μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.