Σε περίπτωση που έχεις φτάσει σε αυτό το μέρος, το πιο πιθανό είναι να έχεις ήδη δει ένα συγκεκριμένο βίντεο με τεράστια κέρδη ή άκουσες για το Need for Slots app και διερωτάσαι αν το APK που διακινείται είναι νόμιμο ή απλώς μια επιμελημένη παγίδα. Το εξέτασα μόνος μου, κατέβασα το αρχείο, το ανέλυσα και έκανα ό,τι ακριβώς θα έκανε ένας επιφυλακτικός χρήστης που δεν σκοπεύει να κάνει το κινητό του σε έκθεμα malware. Το γεγονός που βρήκα με ξάφνιασε γιατί η εικόνα που προβάλλεται στα social media διαφέρει σημαντικά από την πραγματικότητα. Δεν συζητάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται είσοδο σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Εντούτοις, η αλήθεια είναι πιο σύνθετη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, χωρίς στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Η εμπειρία μου με την εγκατάσταση του APK
Αρχικά που έκανα ήταν να κατεβάσω το αρχείο από την προέλευση που διαφημίζεται εντονότερα στα μέσα κοινωνικής δικτύωσης. Δεν χρησιμοποίησα τρίτους συνδέσμους, αλλά τον κεντρικό ιστότοπο που αναγράφεται σαφώς στις αγγελίες. Το μέγεθος αρχείου του αρχείου ήταν σχεδόν 80MB, κάτι που είναι πλήρως φυσιολογικό για μια εφαρμογή που διαθέτει ποιοτικά γραφικά και μια λίστα παιχνιδιών. Μόλις μετά τη κατέβασμα, το Android με ειδοποίησε ότι πρόκειται για άγνωστη πηγή, κάτι αναμενόμενο καθώς το APK δεν λαμβάνεται από το Google Play Store. Εδώ είναι το πρώτο βήμα όπου αρκετοί χρήστες παγώνουν, και δικαίως. Ενεργοποίησα την εγκατάσταση από μη ασφαλείς πηγές για λίγο, έχοντας όμως εκ των προτέρων αποκλείσει τη κινητό μου από το κύριο δίκτυο μου και απενεργοποιήσει προσωρινά οποιαδήποτε app τράπεζας ή ευαίσθητων δεδομένων. Η διαδικασία ολοκληρώθηκε ομαλά, χωρίς αμφίβολες ειδοποιήσεις ή αιτήματα που να διαφέρουν από τα συνηθισμένα. Το σύμβολο προβλήθηκε γρήγορα στην επιφάνεια εργασίας και το εκκίνηση της εφαρμογής ήταν παρομοίως άμεσο, άνευ υστερήσεις ή προβλήματα που θα ήταν δυνατόν να δείχνουν επικίνδυνη δράση στο υπόβαθρο.
Παρόλα αυτά, αυτό που με ανησύχησε είναι ότι η εφαρμογή χρειάστηκε αμέσως μια ομάδα από δικαιώματα κατά την πρώτη έναρξη, τα που δεν δικαιολογούνται εύκολα για ένα παιχνίδι καζίνο. Για παράδειγμα χάριν, απαίτησε δικαίωμα στην θέση μου, κάτι που είναι συχνά ένδειξη για γεωγραφικό περιορισμό, αλλά και για πιο ύποπτες δραστηριότητες. Επίσης, απαίτησε πρόσβαση να διαβάζει την κατάσταση του τηλεφώνου και, σε ύστερο χρόνο, να αποστέλλει ειδοποιήσεις push ακόμη και όταν η εφαρμογή δεν είναι ανοιχτή. Αυτό το μοτίβο είναι κλασικό για κακόβουλο λογισμικό και για πλατφόρμες που επιθυμούν να καταγράφουν την συμπεριφορά του ατόμου μακριά από της εφαρμογής. Δεν λέω ότι το Need for Slots app χρησιμοποιεί καταχρηστικά τα εν λόγω δικαιώματα, αλλά η απαίτηση τους είναι ένα σαφές μειονέκτημα που οφείλει να αξιολογηθεί δεόντως. Η δοκιμή μου προχώρησε με την εξερεύνηση στη βιβλιοθήκη παιχνιδιών, η που ήταν εντυπωσιακά μεγάλη, αλλά το ζήτημα είναι θέμα που θα εξετάσω σε άλλη ενότητα.
Προέλευση και ηλεκτρονική υπογραφή του αρχείου
Ένα από τα πιο σημαντικά στοιχεία που εξέτασα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αναφέρεται σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι σύνηθες για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Σύγκριση με παρεμφερείς εφαρμογές κοινωνικών καζίνο
Για να διαθέτω ένα σημείο σύγκρισης, εξέτασα παράλληλα κάποιες από τις πιο γνωστές εφαρμογές social καζίνο που είναι προσβάσιμες στο Google Play Store, όπως το Slotomania και το House of Fun. Η απόκλιση είναι τεράστια. Αυτές οι εφαρμογές είναι υποστηριζόμενες από σημαντικές εταιρείες, έχουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο σημαντικό, δεν αιτούνται ποτέ προνόμια που ξεπερνούν τα απολύτως απαραίτητα για την εκτέλεση του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, μοιάζει να λειτουργεί σε μια γκρίζα ζώνη, παρέχοντας μια εμπειρία που μιμείται το κανονικό online καζίνο, αλλά χωρίς το θεσμικό πλαίσιο και τους περιορισμούς που επιβάλλονται από τις επίσημες πλατφόρμες. Αυτό δεν σημαίνει ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά φανερώνει μια ξεκάθαρη απουσία επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με επηρέασε αρνητικά είναι ότι το Need for Slots app δεν έχει κανένα σύστημα γονικού ελέγχου ή αποκλεισμού πρόσβασης για ανηλίκους, σε αντιδιαστολή με τις αντίστοιχες εφαρμογές του Play Store που περιλαμβάνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι μηχανισμοί τυχαιότητας (RNG) δεν είναι επικυρωμένοι από κάποιον αμερόληπτο οργανισμό, στοιχείο που είναι τυποποιημένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό υποδηλώνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που ευνοεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την οπτική γωνία ενός αναλυτή, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα αυθεντικό προϊόν ψυχαγωγίας. Αυτό δεν την καθιστά αυτομάτως επικίνδυνη, αλλά αναμφίβολα την τοποθετεί σε μια κατηγορία που απαιτεί αυξημένης προσοχής.
Εξέταση ασφαλείας και επικίνδυνο λογισμικό
Το επόμενο βήμα ήταν να καταθέσω το APK σε ηλεκτρονικές πλατφόρμες ελέγχου κακόβουλου λογισμικού, όπως το VirusTotal. Το συμπέρασμα ήταν εν μέρει καθησυχαστικό, καθώς ούτε ένας από τους μεγάλους antivirus κινητήρες δεν ανίχνευσε κάποιο γνωστό trojan, ransomware ή spyware. Παρ’ όλα αυτά, αυτό δεν υποδηλώνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι συστήματα ανίχνευσης συχνά στηρίζονται σε αποτυπώματα γνωστών απειλών και ένα πρόσφατο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Εκεί που εστίασα περισσότερο ήταν στην ανάλυση της συμπεριφοράς του κώδικα. Είδησα ότι το εφαρμογή καζίνο για κινητό Need for Slots app καθιερώνει συνδέσεις προς διάφορους διακομιστές που δεν υπάγονται σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε εφαρμογές που αφορούν με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή μάλλον συλλέγει δεδομένα χρήσης και τα διαμοιράζεται με τρίτους για διαφημιστικούς σκοπούς.
Επιπλέον, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν συγκριτικά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά σημάδι ότι τρέχουν διεργασίες επιτήρησης ή προφόρτωσης διαφημίσεων. Σε μια εξέταση που πραγματοποίησα, κράτησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε παράγει πάνω από 50 αιτήματα δικτύου, τα πολλά προς διαφημιστικά δίκτυα. Αυτό δεν είναι παράνομο, αλλά είναι μια συμπεριφορά που τοποθετεί την εφαρμογή περισσότερο στην ομάδα του adware παρά σε αυτή ενός αγνού παιχνιδιού. Το δεδομένο ότι δεν υφίσταται επίσημη εγγραφή στο Google Play Store στερεί από τον χρήστη το πλεονέκτημα του αυτόματου ελέγχου ασφαλείας που προσφέρει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ατομική κρίση.
Ανάλυση των αδειών που απαιτεί η εφαρμογή
Αφού τελείωσε η εγκατάσταση, ξόδεψα χρόνο για να εξετάσω αναλυτικά τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app από των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία δίνει τη δυνατότητα στην εφαρμογή να διαβάζει και να δημιουργεί αρχεία σε κοινόχρηστους φακέλους. Αυτό υπονοεί ότι έχει τη δυνατότητα κατ’ αρχήν να ψάξει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν σχετίζονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, παρουσιάζεται η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν ανακάλυψα τεκμήρια ότι λαμβάνει χώρα κάτι τέτοιο, αλλά η παρουσία και μόνο αυτού του συνδυασμού είναι επαρκής για να σηκώσει κόκκινες σημαίες σε κάθε έλεγχο ασφαλείας. Επιπλέον, η εφαρμογή απαιτεί “read phone state”, που συμπεριλαμβάνει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που χρησιμοποιούνται συχνά για τη δημιουργία διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Αντιθέτως, πρέπει να είμαι δίκαιος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι συνηθισμένα σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και χρησιμοποιούν διαφημιστικά SDK για να αποφέρουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει απευθείας τον παίκτη, είναι φυσιολογικό να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν υπάρχει καμία πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κανένα κουμπί που να οδηγεί σε μια σελίδα με όρους χρήσης. Αυτό με οδηγεί στο συμπέρασμα ότι ο χρήστης προσφέρει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης επιθυμούσε πραγματικά να αποκτήσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια σαφή λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Τι πρέπει να προσέξεις πριν την εγκατάσταση
Εάν έχεις φτάσει μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, υπάρχουν συγκεκριμένα βήματα που πρέπει υποχρεωτικά να ακολουθήσεις για να περιορίσεις την έκθεση σου σε κινδύνους. Το βασικό και πιο σημαντικό είναι να μην αξιοποιήσεις ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ μεταχειρίστηκα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια συνήθεια που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να αιτηθεί σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να επιθεωρήσεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να ακυρώσεις ό,τι δεν είναι εντελώς απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, είσελθε στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρειάζεται άμεσα. Επίσης, περιοριστεί τη χρήση δεδομένων στο παρασκήνιο και σταμάτησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να σκανάρεις το APK πριν ακόμα το ανοίξεις. Τέλος, να γνωρίζεις ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα πλαστή ή εξαιρετικά παραπλανητική. Το Need for Slots app εργάζεται, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που εμφανίζεται στις διαφημίσεις.
Οριστική ετυμηγορία: παρέχει τον κίνδυνο;
Μετά από αυτήν την ανάλυση, η τίμια μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα ξεκάθαρο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την πρώτη εκκίνηση, αλλά ούτε και μια υπηρεσία που ικανοποιεί τα ελάχιστα στάνταρ ασφαλείας που θα ανέμενε κανείς από ένα έμπιστο προϊόν. Το στοιχείο ότι διανέμεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια μεγάλη ένδειξη ότι κάτι δεν πάει καλά. Δεν υπάρχει κανένας λόγος για μια επίσημη εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν δύναται να περάσει τους ελέγχους ασφαλείας. Αυτό που βλέπω είναι μια υπηρεσία που έχει σχεδιαστεί για να μαζεύει δεδομένα χρηστών και να τα εκμεταλλεύεται στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, παρέχοντας σε αντάλλαγμα μια πλάνη τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι πρόθυμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ξεχωριστή συσκευή και χωρίς να παραχωρήσεις κανένα προσωπικό στοιχείο, τότε έχεις τη δυνατότητα να το ελέγξεις με σχετική ασφάλεια. Δεν συμβουλεύω όμως σε κανέναν να τοποθετήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι φυλαγμένα ευαίσθητα δεδομένα ή αν κάνεις χρήση εφαρμογές mobile banking. Η απουσία διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η απουσία οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με ωθούν να έχω μια αρνητική στάση. Πρόκειται για μια εφαρμογή που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν θες τη γνώμη μου, κράτα το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.
Recent Comments