Σε περίπτωση που έχεις φτάσει σε αυτό το σημείο, το πιθανότερο είναι πως έχεις δει ένα συγκεκριμένο βίντεο με τεράστια κέρδη ή έχεις μάθει για το Need for Slots app και απορείς αν το APK που υπάρχει είναι νόμιμο ή απλώς μια επιμελημένη παγίδα. Το έψαξα μόνος μου, λήφθηκε το αρχείο, το ανέλυσα και έκανα αυτό που ακριβώς θα έκανε ένας προσεκτικός χρήστης που δεν θέλει να γυρίσει το κινητό του σε βιτρίνα malware. Αυτό που ανακάλυψα με εξέπληξε γιατί η εικόνα που προβάλλεται στα social media απέχει παρασάγγας από την πραγματικότητα. Δεν συζητάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται πρόσβαση σε κουλοχέρηδες με αληθινά χρήματα, δίχως να βρίσκεται στα επίσημα καταστήματα εφαρμογών. Αυτό από μόνο του φωνάζει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η εμπειρία μου με την εγκατάσταση του APK του APK
Αρχικά που έκανα ήταν να λήψω το αρχείο από την προέλευση που διαφημίζεται περισσότερο στα μέσα κοινωνικής δικτύωσης. Δεν αξιοποίησα εξωτερικές συνδέσεις, αλλά τον κεντρικό ιστότοπο που αναφέρεται ρητά στις διαφημίσεις. Το μέγεθος του αρχείου ήταν σχεδόν 80MB, γεγονός που είναι απολύτως αναμενόμενο για μια εφαρμογή που διαθέτει υψηλής ευκρίνειας γραφικά και μια συλλογή παιχνιδιών. Αμέσως μετά τη λήψη αρχείου, το Android με ειδοποίησε ότι είναι για άγνωστη προέλευση, πράγμα φυσιολογικό επειδή το APK δεν προέρχεται από το Google Play Store. Αυτό είναι το πρώτο σημείο όπου αρκετοί χρήστες σταματούν, και εύλογα. Ενεργοποίησα την εγκατάσταση από μη ασφαλείς πηγές για λίγο, αλλά έχοντας προηγουμένως αποκλείσει τη συσκευή από το βασικό μου δίκτυο και απενεργοποιήσει κάθε εφαρμογή τραπεζικής ή απόρρητων πληροφοριών. Η εγκατάσταση τελείωσε ομαλά και χωρίς προβλήματα, δίχως ύποπτα αναδυόμενα παράθυρα ή ερωτήματα που να αποκλίνουν από τα κανονικά. Το εικονίδιο φάνηκε γρήγορα στην αρχική οθόνη και το εκκίνηση της εφαρμογής ήταν το ίδιο ταχύ, χωρίς αργοπορίες ή σφάλματα που θα ήταν δυνατόν να υποδεικνύουν επικίνδυνη δράση στο υπόβαθρο.
Ωστόσο, αυτό που με προβλημάτισε είναι ότι η εφαρμογή χρειάστηκε άμεσα μια σειρά από άδειες κατά την πρώτη εκτέλεση, τα οποία δεν εξηγούνται εύκολα για ένα social casino παιχνίδι. Για παράδειγμα χάριν, ζήτησε δικαίωμα στην τοποθεσία, κάτι που είναι συχνά δείγμα για γεωγραφικό περιορισμό, αλλά και για πιο ύποπτες δραστηριότητες. Ακόμα, απαίτησε δικαίωμα να διαβάζει την κατάσταση του τηλεφώνου και, σε επόμενο βήμα, να στέλνει ενημερώσεις ακόμα και όταν η πλατφόρμα δεν είναι ανοιχτή. Αυτή η συμπεριφορά είναι συνηθισμένο για διαφημιστικό λογισμικό και για πλατφόρμες που θέλουν να καταγράφουν την δραστηριότητα του χρήστη μακριά από της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app κάνει κατάχρηση αυτών των δικαιωμάτων, αλλά η απαίτηση τους είναι ένα προφανές αρνητικό που πρέπει να εξεταστεί προσεκτικά. Η προσωπική μου εμπειρία εξελίχθηκε με την πλοήγηση στη συλλογή παιχνιδιών, η οποία ήταν εντυπωσιακά μεγάλη, αλλά αυτό το θέμα είναι ζήτημα που θα εξετάσω σε άλλη ενότητα.
Τι χρειάζεται να ελέγξεις πριν την εγκατάσταση
Αν έφτασες μέχρι εδώ και εξετάζεις ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν κάποια βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να μειώσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ χρησιμοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια συνήθεια που προτείνω ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποφεύγοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να παρακάμψεις εντελώς. Μην παραχωρήσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να προσφέρει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Ακολούθως, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να ακυρώσεις ό,τι δεν είναι εντελώς απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και απενεργοποίησε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, μείωσε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ύποπτες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εγκαταστήσεις έναν αξιόπιστο antivirus για κινητά και να ελέγξεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που προβάλλεται στις διαφημίσεις.
Έλεγχος ασφαλείας και βλαβερό λογισμικό
Το αμέσως επόμενο βήμα ήταν να καταθέσω το APK σε online πλατφόρμες εξέτασης κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει ενθαρρυντικό, καθώς μηδέν από τους κύριους antivirus κινητήρες δεν ανίχνευσε κάποιο γνωστό trojan, ransomware ή spyware. Εντούτοις, αυτό δεν σημαίνει ότι το αρχείο είναι απολύτως “καθαρό”. Οι μηχανισμοί ανίχνευσης συχνά εδράζονται σε δείγματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Στο σημείο που εστίασα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Είδησα ότι το Need for Slots app δημιουργεί συνδέσεις προς αρκετούς διακομιστές που δεν ανήκουν σε κάποια γνωστή εταιρεία ανάπτυξης παιχνιδιών, αλλά σε υπηρεσίες που συνδέονται με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή μάλλον μαζεύει δεδομένα χρήσης και τα διαμοιράζεται με τρίτους για προωθητικούς σκοπούς.
Πρόσθετα, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν αρκετά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά ένδειξη ότι τρέχουν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμασία που διεξήγαγα, διατήρησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και παρατήρησα ότι είχε δημιουργήσει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι αθέμιτο, αλλά είναι μια συμπεριφορά που κατατάσσει την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το δεδομένο ότι δεν υφίσταται επίσημη εγγραφή στο Google Play Store αποστερεί από τον χρήστη το όφελος του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, εναποθέτοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Προέλευση και ψηφιακή υπογραφή του αρχείου
Ένα από τα εξαιρετικά σημαντικά θέματα που εξέτασα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να ταιριάζει σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι συνηθισμένο για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Απόλυτη ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από ολόκληρη ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα απόλυτο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την εισαγωγική εκκίνηση, αλλά ούτε και μια εφαρμογή που πληροί τα ελάχιστα στάνταρ ασφαλείας που θα ανέμενε κανείς από ένα ασφαλές προϊόν. Το γεγονός ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια σημαντική ένδειξη ότι κάτι δεν πάει καλά. Δεν υφίσταται κανένας λόγος για μια κανονική εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που παρατηρώ είναι μια υπηρεσία που έχει δημιουργηθεί για να αποκτά δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, δίδοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι πρόθυμος να δεχτείς τα ρίσκα που ανέφερα, χρησιμοποιώντας μια απομονωμένη συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το δοκιμάσεις με σχετική ασφάλεια. Δεν συμβουλεύω όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν χρησιμοποιείς εφαρμογές mobile banking. Η στέρηση διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να κρατάω μια αρνητική στάση. Πρόκειται για μια υπηρεσία που στηρίζεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, διατήρησε το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
Ανάλυση των αδειών που αιτείται η εφαρμογή
Αφού τελείωσε η εγκατάσταση, αφιέρωσα χρόνο για να ελέγξω λεπτομερώς τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να δημιουργεί αρχεία σε κοινούς φακέλους. Αυτό υπονοεί ότι μπορεί θεωρητικά να ελέγξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε μακρινούς διακομιστές. Δεν εντόπισα αποδείξεις ότι γίνεται κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι ικανή για να προκαλέσει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή αιτείται “read phone state”, που συμπεριλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη κατασκευή διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη μεριά, πρέπει να είμαι αντικειμενικός και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνήθη σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι λογικό να στηρίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υφίσταται καμία πολιτική απορρήτου εύκολα προσβάσιμη μέσα σε της εφαρμογής, ούτε ένα κουμπί που να παραπέμπει σε μια επισκεφθείτε αυτή τη σελίδα με όρους χρήσης. Αυτό με φέρνει στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα όφειλε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Σύγκριση με αντίστοιχες εφαρμογές social καζίνο
Για να διαθέτω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα μερικές από τις πιο διαδεδομένες εφαρμογές κοινωνικών καζίνο που είναι υπάρχουν στο Google Play Store, για παράδειγμα το Slotomania και το House of Fun. Η απόκλιση είναι χαοτική. Αυτές οι εφαρμογές είναι υποστηριζόμενες από μεγάλες εταιρείες, έχουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο σημαντικό, δεν απαιτούν ποτέ άδειες που είναι πέρα από τα απολύτως απαραίτητα για την διεξαγωγή του παιχνιδιού. Το Need for Slots app, από την άλλη, φαίνεται να δραστηριοποιείται σε μια αμφίβολη ζώνη, παρέχοντας μια αίσθηση που μιμείται το κανονικό online καζίνο, αλλά άνευ το κανονιστικό πλαίσιο και τους εποπτείες που απαιτούνται από τις αδειοδοτημένες πλατφόρμες. Αυτό δεν υποδηλώνει ότι η εφαρμογή είναι κατ’ ανάγκη επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά καταδεικνύει μια σαφή έλλειψη επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν έχει κανένα απολύτως σύστημα γονεϊκού ελέγχου ή φραγμού πρόσβασης για παιδιά, σε αντίθεση με τις παρόμοιες εφαρμογές του Play Store που ενσωματώνουν age gates και επιβεβαίωση ηλικίας. Επιπλέον, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από έναν ανεξάρτητο οργανισμό, στοιχείο που είναι συνηθισμένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε διατηρήσει απασχολημένο. Από την σκοπιά ενός αναλυτή, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτόματα επικίνδυνη, αλλά αναμφίβολα την τοποθετεί σε μια κατηγορία που χρήζει αυξημένης προσοχής.