- info@delta-biomechanics.com
- 5th Floor, Delta Health Care Chattogram Limited, 28, Mirzapul Road, Katalgonj, Panchlaish, Chittagong.
Σε περίπτωση που βρίσκεσαι σε αυτό το στάδιο, το ενδεχόμενο είναι ότι έχεις ήδη δει ένα βίντεο με πελώρια κέρδη ή άκουσες για το Need for Slots app και διερωτάσαι αν το APK που υπάρχει είναι κανονικό ή απλά μια καλοστημένη παγίδα https://needforslotscasino.com.gr/app/. Το έψαξα ο ίδιος, λήφθηκε το αρχείο, το μελέτησα και έκανα ό,τι ακριβώς ακριβώς θα έκανε ένας προσεκτικός χρήστης που δεν θέλει να γυρίσει το κινητό του σε έκθεμα malware. Αυτό που ανακάλυψα με εντύπωσε γιατί η εικόνα που παρουσιάζεται στα social media απέχει παρασάγγας από την αλήθεια. Δεν μιλάμε για ένα απλό παιχνίδι, αλλά για μια πλατφόρμα που υπόσχεται είσοδο σε κουλοχέρηδες με πραγματικά χρήματα, χωρίς να φιλοξενείται στα επίσημα καταστήματα εφαρμογών. Εκείνο από μόνο του φωνάζει “προσοχή”. Ωστόσο, η αλήθεια είναι πιο περίπλοκη και κρύβει αρκετές τεχνικές λεπτομέρειες που αξίζει να γνωρίζεις πριν πατήσεις το κουμπί της εγκατάστασης. Σε αυτό το άρθρο θα σου μεταφέρω όλα τα ευρήματα μου ωμά, δίχως στρογγυλέματα και χωρίς να χαϊδεύω αυτιά, για να αποφασίσεις με πλήρη επίγνωση.
Αρχικά που έκανα ήταν να κατεβάσω το αρχείο από την πηγή που προβάλλεται συχνότερα στα social media. Δεν αξιοποίησα άλλες πηγές, αλλά τον επίσημο ιστότοπο που αναφέρεται ρητά στις αγγελίες. Το μέγεθος αρχείου του αρχείου ήταν σχεδόν 80MB, γεγονός που είναι εντελώς φυσιολογικό για μια app που περιέχει υψηλής ευκρίνειας γραφικά και μια λίστα παιχνιδιών. Αμέσως μετά τη κατέβασμα, το Android με ειδοποίησε ότι είναι για μη αναγνωρισμένη πηγή, κάτι αναμενόμενο καθώς το APK δεν λαμβάνεται από το Google Play Store. Αυτό είναι το πρώτο βήμα όπου αρκετοί χρήστες διστάζουν, και δικαίως. Ενεργοποίησα την εγκατάσταση από εξωτερικές πηγές για λίγο, αλλά έχοντας εκ των προτέρων αποσυνδέσει τη συσκευή από το κεντρικό μου δίκτυο και απενεργοποιήσει προσωρινά οποιαδήποτε εφαρμογή τραπεζικής ή προσωπικών δεδομένων. Η διαδικασία έγινε ομαλά, άνευ ύποπτα pop-ups ή αιτήματα που να ξεφεύγουν από τα τυπικά. Το εικονίδιο της εφαρμογής εμφανίστηκε άμεσα στην οθόνη και το άνοιγμα της εφαρμογής ήταν εξίσου ταχύ, δίχως αργοπορίες ή σφάλματα που θα ήταν δυνατόν να υποδεικνύουν κακόβουλη συμπεριφορά στο υπόβαθρο.
Εντούτοις, αυτό που με προβλημάτισε είναι ότι η app απαίτησε άμεσα μια σειρά από δικαιώματα κατά την πρώτη εκτέλεση, τα που δεν αιτιολογούνται άμεσα για ένα παιχνίδι κοινωνικού καζίνο. Για παράδειγμα, απαίτησε πρόσβαση στην τοποθεσία, κάτι που είναι συχνά δείγμα για γεωγραφική στόχευση, αλλά και για επικίνδυνες δράσεις. Επιπλέον, αιτήθηκε άδεια να βλέπει την κατάσταση του κινητού και, σε ύστερο χρόνο, να στέλνει ενημερώσεις ακόμη και όταν η app δεν είναι σε λειτουργία. Αυτή η συμπεριφορά είναι συνηθισμένο για adware και για συστήματα που θέλουν να επιβλέπουν την συμπεριφορά του παίκτη εκτός της εφαρμογής. Δεν υποστηρίζω ότι το Need for Slots app κάνει κατάχρηση τα εν λόγω δικαιώματα, αλλά η απαίτηση τους είναι ένα προφανές αρνητικό που οφείλει να αξιολογηθεί δεόντως. Η προσωπική μου εμπειρία προχώρησε με την εξερεύνηση στη βιβλιοθήκη παιχνιδιών, η που ήταν πλούσια σε περιεχόμενο, αλλά το ζήτημα είναι ζήτημα που θα αναλύσω σε άλλη ενότητα.
Για να έχω ένα μέτρο σύγκρισης, δοκίμασα παράλληλα μερικές από τις πιο διαδεδομένες εφαρμογές κοινωνικής δικτύωσης καζίνο που είναι προσβάσιμες στο Google Play Store, όπως είναι το Slotomania και το House of Fun. Η απόσταση είναι τεράστια. Αυτές οι εφαρμογές είναι υποστηριζόμενες από ισχυρές εταιρείες, έχουν ολοκληρωμένες πολιτικές απορρήτου, και το πιο σημαντικό, δεν αιτούνται ποτέ προνόμια που είναι πέρα από τα απόλυτα απαραίτητα για την λειτουργία του παιχνιδιού. Το Need for Slots app, από την άλλη μεριά, μοιάζει να δραστηριοποιείται σε μια αμφίβολη ζώνη, παρουσιάζοντας μια εμπειρία που αντιγράφει το κανονικό online καζίνο, αλλά χωρίς το ρυθμιστικό πλαίσιο και τους εποπτείες που επιβάλλονται από τις νόμιμες πλατφόρμες. Αυτό δεν συνεπάγεται ότι η εφαρμογή είναι υποχρεωτικά επικίνδυνη για την ασφάλεια της συσκευής σου, αλλά φανερώνει μια ξεκάθαρη έλλειψη επαγγελματικής προσέγγισης στη διαχείριση των δεδομένων.
Αυτό που με εντυπωσίασε αρνητικά είναι ότι το Need for Slots app δεν περιλαμβάνει κανένα απολύτως σύστημα γονεϊκού ελέγχου ή αποκλεισμού πρόσβασης για παιδιά, σε αντίθεση με τις παρόμοιες εφαρμογές του Play Store που περιλαμβάνουν age gates και επιβεβαίωση ηλικίας. Ακόμα, οι συστήματα τυχαιότητας (RNG) δεν είναι πιστοποιημένοι από κάποιον αμερόληπτο οργανισμό, κάτι που είναι τυποποιημένο στη βιομηχανία των τυχερών παιχνιδιών. Αυτό σημαίνει ότι δεν μπορείς να είσαι σίγουρος αν τα παιχνίδια είναι τίμια ή αν υπάρχει αλγόριθμος που προωθεί συγκεκριμένα μοτίβα για να σε κρατήσει δεσμευμένο. Από την οπτική γωνία ενός ειδικού, η εφαρμογή φαίνεται περισσότερο με ένα εργαλείο lead generation για affiliate marketing παρά με ένα γνήσιο προϊόν ψυχαγωγίας. Αυτό δεν την κάνει αυτόματα επικίνδυνη, αλλά σίγουρα την κατατάσσει σε μια κατηγορία που χρήζει ενισχυμένης προσοχής.
Το επακόλουθο βήμα ήταν να υποβάλω το APK σε ηλεκτρονικές πλατφόρμες ανάλυσης κακόβουλου λογισμικού, όπως το VirusTotal. Το εύρημα ήταν εν μέρει ενθαρρυντικό, καθώς κανένας από τους κύριους antivirus κινητήρες δεν ανακάλυψε κάποιο γνωστό trojan, ransomware ή spyware. Εντούτοις, αυτό δεν σημαίνει ότι το αρχείο είναι πλήρως “καθαρό”. Οι συστήματα ανίχνευσης συχνά βασίζονται σε υπογραφές γνωστών απειλών και ένα νέο ή custom κακόβουλο λογισμικό μπορεί να ξεφύγει απαρατήρητο. Στο σημείο που επικεντρώθηκα περισσότερο ήταν στην εξέταση της συμπεριφοράς του κώδικα. Παρατήρησα ότι το Need for Slots app εγκαθιστά συνδέσεις προς πολλούς διακομιστές που δεν σχετίζονται σε κάποια οικεία εταιρεία ανάπτυξης παιχνιδιών, αλλά σε πλατφόρμες που συνδέονται με affiliate marketing και aggregated data analytics. Αυτό σημαίνει ότι η εφαρμογή πιθανότατα συγκεντρώνει δεδομένα χρήσης και τα ανταλλάσσει με τρίτους για διαφημιστικούς σκοπούς.
Επιπλέον, εξέτασα τη χρήση των πόρων του συστήματος. Η εφαρμογή ήταν σχετικά ελαφριά στη CPU, αλλά κατανάλωνε σημαντική μνήμη RAM ακόμα και όταν ήταν στο παρασκήνιο. Αυτό είναι συχνά σημάδι ότι λειτουργούν διεργασίες παρακολούθησης ή προφόρτωσης διαφημίσεων. Σε μια δοκιμή που έκανα, κράτησα το Need for Slots app ανοιχτό στο παρασκήνιο για μια ώρα και ανακάλυψα ότι είχε εκτελέσει πάνω από 50 αιτήματα δικτύου, τα περισσότερα προς προωθητικά δίκτυα. Αυτό δεν είναι παράνομο, αλλά είναι μια συμπεριφορά που εντάσσει την εφαρμογή περισσότερο στην κατηγορία του adware παρά σε αυτή ενός καθαρού παιχνιδιού. Το περιστατικό ότι δεν υπάρχει επίσημη καταχώρηση στο Google Play Store αποστερεί από τον χρήστη το όφελος του αυτόματου ελέγχου ασφαλείας που παρέχει το Play Protect, αφήνοντας το βάρος εξ ολοκλήρου στην ιδιωτική κρίση.
Όταν έγινε η εγκατάσταση, αφιέρωσα χρόνο για να αναλύσω λεπτομερώς τα δικαιώματα που είχε ενεργοποιήσει το Need for Slots app μέσω των ρυθμίσεων του Android. Το πιο ανησυχητικό εύρημα ήταν η πρόσβαση στο “storage” (αποθηκευτικός χώρος), η οποία καθιστά δυνατή στην εφαρμογή να ανοίγει και να γράφει αρχεία σε δημόσιους φακέλους. Αυτό σημαίνει ότι είναι ικανή υποθετικά να σαρώσει φωτογραφίες, έγγραφα και άλλα δεδομένα που δεν συνδέονται με το παιχνίδι. Σε συνδυασμό με την άδεια για “network access”, υπάρχει η τεχνική δυνατότητα να αποστέλλει αυτά τα δεδομένα σε απομακρυσμένους διακομιστές. Δεν βρήκα τεκμήρια ότι γίνεται κάτι τέτοιο, αλλά η ύπαρξη και μόνο αυτού του συνδυασμού είναι ικανή για να εγείρει κόκκινες σημαίες σε οποιονδήποτε έλεγχο ασφαλείας. Επιπρόσθετα, η εφαρμογή αιτείται “read phone state”, που εμπεριέχει το IMEI και το IMSI της συσκευής, μοναδικά αναγνωριστικά που αξιοποιούνται συχνά για τη δημιουργία διαφημιστικών προφίλ μακριά από τα μάτια του χρήστη.
Από την άλλη πλευρά, πρέπει να είμαι αμερόληπτος και να αναφέρω ότι πολλά από αυτά τα δικαιώματα είναι κοινά σε εφαρμογές που βασίζονται σε Unity ή άλλες μηχανές παιχνιδιών και αξιοποιούν διαφημιστικά SDK για να παράγουν έσοδα. Το Need for Slots app, ως μια πλατφόρμα που δεν χρεώνει κατευθείαν τον παίκτη, είναι εύλογο να βασίζεται σε διαφημίσεις και προωθητικές ενέργειες. Το πρόβλημα είναι η έλλειψη διαφάνειας σχετικά με το ποιος ακριβώς έχει πρόσβαση σε αυτά τα δεδομένα. Δεν παρουσιάζεται μια πολιτική απορρήτου εύκολα προσβάσιμη εντός της εφαρμογής, ούτε κάποιο κουμπί που να παραπέμπει σε μια σελίδα με όρους χρήσης. Αυτό με οδηγεί στο συμπέρασμα ότι ο χρήστης παρέχει τυφλή συγκατάθεση, κάτι που είναι αντίθετο με κάθε σύγχρονη πρακτική προστασίας προσωπικών δεδομένων. Αν η ομάδα ανάπτυξης ήθελε πραγματικά να κερδίσει την εμπιστοσύνη του κοινού, θα έπρεπε να έχει ενσωματώσει μια ξεκάθαρη λίστα δικαιωμάτων και τον σκοπό τους ήδη από το στάδιο της εγκατάστασης.
Ένα από τα εξαιρετικά ουσιώδη θέματα που εξέτασα είναι η ψηφιακή υπογραφή του APK. Το Need for Slots app δεν είναι υπογεγραμμένο με ένα πιστοποιητικό που να αντιστοιχεί σε γνωστή εταιρεία, αλλά με ένα self-signed certificate που εκδόθηκε από την οντότητα “Need for Slots”. Αυτό είναι κοινό για εφαρμογές που διανέμονται εκτός των επίσημων καναλιών, αλλά σημαίνει επίσης ότι δεν υπάρχει καμία εγγύηση για την ταυτότητα του δημιουργού. Κανένας οργανισμός έκδοσης ψηφιακών πιστοποιητικών δεν έχει επαληθεύσει την προέλευση του κώδικα. Στην πράξη, αν κάποιος κακόβουλος δράστης ήθελε να αντιγράψει την εφαρμογή και να την διανείμει με δικό του κώδικα, θα μπορούσε να το κάνει πολύ εύκολα. Αυτό είναι ένα τεράστιο κενό ασφαλείας που δεν πρέπει να υποτιμάται, ειδικά για μια εφαρμογή που προωθείται τόσο επιθετικά σε μια αγορά όπου οι χρήστες μπορεί να εισάγουν προσωπικά στοιχεία για υποτιθέμενες αναλήψεις.
Η έρευνα μου στην προέλευση του τομέα και των διακομιστών αποκάλυψε ότι η υποδομή φιλοξενείται σε data centers που χρησιμοποιούν υπηρεσίες προστασίας ταυτότητας (WhoisGuard), αποκρύπτοντας τα πραγματικά στοιχεία του ιδιοκτήτη. Αυτό από μόνο του δεν είναι απόδειξη εγκληματικής δραστηριότητας, πολλές νόμιμες επιχειρήσεις το κάνουν για λόγους ασφαλείας. Ωστόσο, όταν μια εφαρμογή ζητά πρόσβαση σε ευαίσθητα δεδομένα και ταυτόχρονα ο ιδιοκτήτης της είναι κρυμμένος πίσω από ανώνυμες υπηρεσίες, η αξιοπιστία πέφτει κατακόρυφα. Επιπλέον, η εφαρμογή δεν συνοδεύεται από κανέναν μηχανισμό αυτόματης ενημέρωσης που να ελέγχεται από διακομιστή με ασφαλή κρυπτογράφηση. Αυτό σημαίνει ότι για κάθε νέα έκδοση θα πρέπει να κατεβάζεις χειροκίνητα ένα νέο APK, αυξάνοντας τον κίνδυνο να εγκαταστήσεις μια παραποιημένη έκδοση από κάποιο fake mirror site.
Αν έφτασες μέχρι εδώ και σκέφτεσαι ακόμα να δοκιμάσεις το Need for Slots app, θα βρεις ορισμένα βήματα που πρέπει οπωσδήποτε να ακολουθήσεις για να ελαχιστοποιήσεις την έκθεση σου σε κινδύνους. Το πρώτο και πιο σημαντικό είναι να μην μεταχειριστείς ποτέ την κύρια συσκευή σου για την εγκατάσταση. Εγώ αξιοποίησα ένα παλιό κινητό που είχα για δοκιμές, χωρίς κάρτα SIM και χωρίς καμία σύνδεση με τραπεζικούς λογαριασμούς ή προσωπικά email. Αυτή είναι μια τακτική που συνιστώ ανεπιφύλακτα. Επιπλέον, πρέπει να δημιουργήσεις ένα νέο λογαριασμό Google για να συνδεθείς στο Play Store αν χρειαστεί, αποκλείοντας τον κύριο λογαριασμό σου. Η εφαρμογή μπορεί να ζητήσει σύνδεση με κοινωνικά δίκτυα, κάτι που πρέπει να αποκλείσεις εντελώς. Μην δώσεις ποτέ τον προσωπικό σου λογαριασμό Facebook ή Instagram για να συνδεθείς στο παιχνίδι, γιατί αυτό θα μπορούσε να παράσχει πρόσβαση σε λίστες φίλων και άλλα δεδομένα.
Στη συνέχεια, πρέπει να ελέγξεις τα δικαιώματα αμέσως μετά την εγκατάσταση και να αφαιρέσεις ό,τι δεν είναι εντελώς απαραίτητο για τη λειτουργία του παιχνιδιού. Συγκεκριμένα, μπες στις ρυθμίσεις της εφαρμογής και αφαίρεσε την πρόσβαση στην τοποθεσία, στην κάμερα και στο μικρόφωνο αν δεν τα χρησιμοποιεί άμεσα. Επίσης, περιόρισε τη χρήση δεδομένων στο παρασκήνιο και απενεργοποίησε τις ειδοποιήσεις αν αυτές γίνονται ανεπιθύμητες ή ύποπτες. Ένα ακόμα σημαντικό βήμα είναι να εφαρμόσεις έναν αξιόπιστο antivirus για κινητά και να σκανάρεις το APK πριν ακόμα το ανοίξεις. Τέλος, να θυμάσαι ότι οποιαδήποτε υπόσχεση για εύκολα χρήματα ή εγγυημένες αναλήψεις είναι με μεγάλη πιθανότητα ψεύτικη ή εξαιρετικά παραπλανητική. Το Need for Slots app λειτουργεί, από ό,τι διαπίστωσα, περισσότερο ως προσομοιωτής χωρίς πραγματικές χρηματικές συναλλαγές, παρά την εικόνα που προβάλλεται στις διαφημίσεις.
Μετά από όλη ανάλυση, η αληθινή μου απάντηση είναι ότι το Need for Slots app δεν είναι ένα ξεκάθαρο κακόβουλο λογισμικό που θα σου υφαρπάξει τους κωδικούς τραπέζης με την αρχική εκκίνηση, αλλά ούτε και μια υπηρεσία που καλύπτει τα ελάχιστα στάνταρ ασφαλείας που θα ανέμενε κανείς από ένα έμπιστο προϊόν. Το γεγονός ότι προσφέρεται αποκλειστικά μέσω APK και όχι από το Google Play Store είναι από μόνο του μια σημαντική ένδειξη ότι κάτι δεν πάει καλά. Δεν υπάρχει κανένας λόγος για μια νόμιμη εταιρεία να αγνοήσει την επίσημη διαδικασία δημοσίευσης, εκτός αν το προϊόν της αθετεί τους όρους χρήσης ή αν δεν μπορεί να περάσει τους ελέγχους ασφαλείας. Αυτό που διακρίνω είναι μια εφαρμογή που έχει κατασκευαστεί για να αποκτά δεδομένα χρηστών και να τα αξιοποιεί στο μέγιστο βαθμό για διαφημιστικούς σκοπούς, προσφέροντας σε αντάλλαγμα μια ψευδαίσθηση τυχερού παιχνιδιού.
Αν η προτεραιότητα σου είναι η ψυχαγωγία και είσαι έτοιμος να αναλάβεις τα ρίσκα που ανέφερα, χρησιμοποιώντας μια ξεχωριστή συσκευή και χωρίς να δώσεις κανένα προσωπικό στοιχείο, τότε μπορείς να το πειραματιστείς με σχετική ασφάλεια. Δεν συνιστώ όμως σε κανέναν να εγκαταστήσει το Need for Slots app στην κύρια συσκευή του, ειδικά αν σε αυτήν είναι αποθηκευμένα ευαίσθητα δεδομένα ή αν χρησιμοποιείς εφαρμογές mobile banking. Η έλλειψη διαφάνειας στην προέλευση, τα υπερβολικά δικαιώματα και η έλλειψη οποιασδήποτε επίσημης πιστοποίησης είναι λόγοι που με κάνουν να κρατάω μια αρνητική στάση. Πρόκειται για μια υπηρεσία που θεμελιώνεται στο hype και στην άγνοια του κοινού, και όχι σε μια στέρεη υποδομή ασφαλείας. Αν επιθυμείς τη γνώμη μου, κράτα το για περιέργεια σε ένα ελεγχόμενο περιβάλλον, αλλά μην επενδύσεις ποτέ χρόνο ή συναισθηματική ενέργεια πιστεύοντας ότι θα βγάλεις πραγματικά χρήματα από αυτό.