Εάν έχεις φτάσει σε αυτό το σημείο, το ενδεχόμενο είναι πως έχεις ήδη δει κάποιο βίντεο με πελώρια κέρδη ή έχεις ακούσει για το Need for Slots app και αναρωτιέσαι αν το APK που υπάρχει είναι νόμιμο ή απλά μια επιμελημένη παγίδα. Το εξέτασα ο ίδιος, κατέβασα το αρχείο, το ανέλυσα και πραγματοποίησα αυτό που ακριβώς θα έκανε ένας προσεκτικός χρήστης που δεν σκοπεύει να μετατρέψει το κινητό του σε εκθετήριο malware. Το γεγονός που ανακάλυψα με ξάφνιασε γιατί η εικόνα που προβάλλεται στα social media απέχει σημαντικά από την αλήθεια. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με πραγματικά χρήματα, δίχως να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Παρόλα αυτά, η αλήθεια είναι πιο σύνθετη και κρύβει πολλές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.

Μελέτη των αδειών που ζητά η εφαρμογή

Όταν τελείωσε η εγκατάσταση, διέθεσα χρόνο για να ελέγξω διεξοδικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία επιτρέπει στην εφαρμογή να βλέπει και να αποθηκεύει αρχεία σε κοινούς φακέλους. Αυτό σημαίνει ότι μπορεί υποθετικά να σαρώσει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε εξ αποστάσεως διακομιστές. Δεν ανακάλυψα στοιχεία ότι συμβαίνει κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι ικανή για να σηκώσει κόκκινες σημαίες σε οποιοδήποτε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή ζητά “read phone state”, που συμπεριλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.

Από δείτε την ιστοσελίδα άλλη πλευρά, πρέπει να είμαι δίκαιος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να δημιουργούν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει άμεσα τον παίκτη, είναι φυσιολογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το ζήτημα είναι η απουσία διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει μια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε ένα κουμπί που να παραπέμπει σε μια σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης δίνει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.

Προέλευση και ψηφιακή υπογραφή του αρχείου

Ένα από τα πιο σημαντικά θέματα που μελέτησα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αναφέρεται σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.

Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.

Η δοκιμή μου με την εγκατάσταση του APK

Αυτό που έκανα πρώτα που έκανα ήταν να λήψω το αρχείο από την τοποθεσία που διαφημίζεται συχνότερα στα μέσα κοινωνικής δικτύωσης. Δεν επέλεξα άλλες πηγές, αλλά τον κύριο ιστότοπο που αναφέρεται ξεκάθαρα στις διαφημίσεις. Το μέγεθος αρχείου του αρχείου ήταν γύρω στα 80MB, κάτι που είναι εντελώς συνηθισμένο για μια πλατφόρμα που ενσωματώνει γραφικά υψηλής ανάλυσης και μια λίστα παιχνιδιών. Ευθύς αμέσως μετά τη λήψη αρχείου, το Android με ειδοποίησε ότι πρόκειται για μη αναγνωρισμένη πηγή, πράγμα φυσιολογικό επειδή το APK δεν προέρχεται από από το Google Play Store. Σε αυτό το σημείο είναι το πρώτο βήμα όπου αρκετοί χρήστες σταματούν, και σωστά. Άνοιξα την εγκατάσταση από εξωτερικές πηγές προσωρινά, έχοντας προηγουμένως πριν απομονώσει τη κινητό μου από το κεντρικό μου δίκτυο και απενεργοποιήσει προσωρινά κάθε εφαρμογή τραπεζικής ή απόρρητων πληροφοριών. Η διαδικασία εγκατάστασης έγινε χωρίς εμπόδια, δίχως αμφίβολες ειδοποιήσεις ή απαιτήσεις που να ξεφεύγουν από τα συνηθισμένα. Το εικονίδιο φάνηκε γρήγορα στην οθόνη και το άνοιγμα της εφαρμογής της εφαρμογής ήταν εξίσου γρήγορο, δίχως αργοπορίες ή λάθη που θα ήταν δυνατόν να δείχνουν ύποπτη λειτουργία στο παρασκήνιο.

Ωστόσο, αυτό που με ανησύχησε είναι ότι η app ζήτησε ευθύς αμέσως μια λίστα από δικαιώματα κατά την πρώτη εκτέλεση, τα όποια δεν δικαιολογούνται απλά για ένα social casino παιχνίδι. Για παράδειγμα, ζήτησε πρόσβαση στην θέση μου, πράγμα που είναι συχνά ένδειξη για γεωγραφική στόχευση, αλλά και για πιο ύποπτες δραστηριότητες. Ακόμα, αιτήθηκε άδεια να διαβάζει την κατάσταση της συσκευής και, σε μεταγενέστερο στάδιο, να προωθεί ενημερώσεις ακόμα και όταν η app δεν είναι ενεργή. Αυτό το πρότυπο είναι τυπικό για διαφημιστικό λογισμικό και για πλατφόρμες που θέλουν να καταγράφουν την συμπεριφορά του ατόμου εκτός της εφαρμογής. Δεν λέω ότι το Need for Slots app κάνει κατάχρηση αυτών των δικαιωμάτων, αλλά η ζήτηση τους είναι ένα ξεκάθαρο μειονέκτημα που χρειάζεται να αξιολογηθεί δεόντως. Η δοκιμή μου εξελίχθηκε με την πλοήγηση στη λίστα παιχνιδιών, η όποια ήταν εντυπωσιακά μεγάλη, αλλά αυτό είναι σημείο που θα αναλύσω σε άλλη ενότητα.

Τελική ετυμηγορία: αξίζει τον κίνδυνο;

Μετά από όλη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα σαφές κακόβουλο λογισμικό που θα σου κλέψει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια υπηρεσία που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα περίμενε κανείς από ένα αξιόπιστο προϊόν. Το γεγονός ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν λειτουργεί καλά. Δεν υφίσταται κανένας λόγος για μια κανονική εταιρεία να αποφύγει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της καταπατά τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια πλατφόρμα που έχει δημιουργηθεί για να αποκτά δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.

Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι έτοιμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ξεχωριστή συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το δοκιμάσεις με σχετική ασφάλεια. Δεν συμβουλεύω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν χρησιμοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με οδηγούν να κρατάω μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θέλεις τη γνώμη μου, κράτα το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.

Τι είναι σημαντικό να γνωρίζεις πριν την εγκατάσταση

Αν έφτασες μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, θα βρεις συγκεκριμένα βήματα που πρέπει απαραίτητα να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το βασικό και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια τακτική που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να φτιάξεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην προσφέρεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.

Έπειτα, πρέπει να εξετάσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να απενεργοποιήσεις ό,τι δεν είναι απολύτως απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, πήγαινε στις ρυθμίσεις της εφαρμογής και ακύρωσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα απαιτεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ενοχλητικές ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που εμφανίζεται στις διαφημίσεις.

Ανάλυση ασφαλείας και κακόβουλο λογισμικό

Το αμέσως επόμενο βήμα ήταν να υποβάλω το APK σε online πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ενθαρρυντικό, καθώς ούτε ένας από τους μεγάλους antivirus κινητήρες δεν ανίχνευσε κάποιο οικείο trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν σημαίνει ότι το αρχείο είναι απόλυτα “καθαρό”. Οι μέθοδοι ανίχνευσης συχνά στηρίζονται σε δείγματα γνωστών απειλών και ένα καινούργιο ή custom κακόβουλο λογισμικό μπορεί να περάσει απαρατήρητο. Εκεί που συγκεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Είδησα ότι το Need for Slots app εγκαθιστά συνδέσεις προς αρκετούς διακομιστές που δεν ανήκουν σε κάποια αναγνωρισμένη εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που σχετίζονται με affiliate marketing και aggregated data analytics. Αυτό υποδηλώνει ότι η εφαρμογή κατά πάσα πιθανότητα συλλέγει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.

Πρόσθετα, ανέλυσα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά δείγμα ότι τρέχουν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που πραγματοποίησα, άφησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και παρατήρησα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα πλειοψηφία προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράτυπο, αλλά είναι μια στάση που τοποθετεί την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός απλού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώρηση στο Google Play Store αποστερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, εναποθέτοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.

Σύγκριση παρόμοιες εφαρμογές social καζίνο

Για να έχω ένα μέτρο σύγκρισης, εξέτασα παράλληλα μερικές από τις πιο γνωστές εφαρμογές κοινωνικών καζίνο που είναι διαθέσιμες στο Google Play Store, όπως το Slotomania και το House of Fun. Η διαφορά είναι χαοτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από μεγάλες εταιρείες, παρέχουν πλήρεις πολιτικές απορρήτου, και το πιο σημαντικό, δεν ζητούν ποτέ άδειες που υπερβαίνουν τα απόλυτα απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την αντίθετη πλευρά, δείχνει να δραστηριοποιείται σε μια γκρίζα ζώνη, παρουσιάζοντας μια εμπειρία που απομιμείται το πραγματικό online καζίνο, αλλά δίχως το κανονιστικό πλαίσιο και τους εποπτείες που επιβάλλονται από τις νόμιμες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά υποδεικνύει μια ξεκάθαρη στέρηση επαγγελματικής δεοντολογίας στη διαχείριση των δεδομένων.

Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει οποιοδήποτε σύστημα γονικού ελέγχου ή περιορισμού πρόσβασης για παιδιά, σε αντίθεση με τις συναφείς εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Επιπλέον, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον ανεξάρτητο οργανισμό, κάτι που είναι τυποποιημένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό συνεπάγεται ότι δεν μπορείς να είσαι βέβαιος αν τα παιχνίδια είναι δίκαια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει απασχολημένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα κακόβουλη, αλλά σίγουρα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.