Social Tabatinga Leticia Iquitos - TALEOI.COM

En todo el territorio colombiano se realizó una velatón en honor y apoyo a los hombres y mujeres que integran la institución policial.

La ardua labor de los funcionarios que integran la Policía Nacional ha permitido generar mayor confianza en la comunidad, a pesar de los diferentes hechos que afectaron la institución, los habitantes de cada región en todo el territorio colombiano enviaron sus mensajes de apoyo para quienes defienden y velan la seguridad de sus hogares, locales comerciales, barrios, comunidades y población en general.

Todos los asistentes encendieron una vela en honor a quienes ofrendaron la vida en cumplimiento del deber, pero también, para brindarle ese apoyo incondicional a toda una institución que a lo largo de la historia ha construido una generación de hombres y mujeres valientes para portar un uniforme, garantizando la seguridad y convivencia de todos los colombianos.

Este homenaje se desarrolló frente a las instalaciones del Comando Departamento de Policía Amazonas, donde asistieron líderes comunales, familiares de uniformados de la institución, personal en uso de buen retiro, Policía cívica juvenil e infantil, estudiantes del Centro de Instrucción Leticia y la comunidad en general.

El Departamento de Policía Amazonas agradece el apoyo a la institución y reafirma su compromiso por la seguridad y convivencia en el pulmón del mundo.

Alcalde Alirio de Jesús Vásquez estuvo el 10 de agosto, el Consejo de Seguridad y Convivencia como instancia central de coordinación interinstitucional en temas de convivencia y seguridad ciudadana.

El fin de la reunión fue para Recolectar y analizar información a partir de la cual se logre una mayor comprensión de los problemas públicos de indisciplina y desorden social, violencia interpersonal en espacios públicos, y motivar la participación de los ciudadanos en las estrategias, programas y actividades que se están desarrollando en materia de convivencia.

A la sesión participaron el Secretario General, Gobierno y asuntos étnicos, Ronny Rafael Pitre Lindo, Comisaria de Familia, Secretario de Turismo, Cultura, Recreación y Deporte, Inspección de Policía, el Comandante de Policía, el Comandante del Ejército, el Comandante del Buque Armada, Fiscal local, Personera Municipal. Y como invitados los presidentes de las juntas de acción comunal Los Baos, 13 de Mayo, El Progreso, delegada 8 de Diciembre y delegada Lomalinda.

Fuente :puertonarino-amazonas.gov.co

La astronauta colombiana Giovanna Ramírez recibió prestigioso galardón internacional

Giovanna Estefanía Ramírez, la primera astronauta del país y única latinoamericana que ha participado en las 32 misiones simuladas a Marte, recibió la medalla de la Cátedra Internacional Galileo.

La Escuela Colombiana de Ingeniería Julio Garavito se vistió de gala para celebrar la entrega de la medalla de la Cátedra Internacional Galileo del Colegio de Posgraduados en Administración de la República Mexicana, Colparmex-que premia a los investigadores y científicos que han aportado al desarrollo y a la gestión en el mundo- a Giovanna Estefanía Ramírez Ruiz, ingeniera electrónica, egresada de la institución y primera astronauta análoga colombiana.

La joven de 27 años, quien además es magíster en Desarrollo y Gerencia Integral de Proyectos, piloto de aviación, presidente del capítulo profesional Aerospace & Electronic Systems Society AESS capítulo Colombia (2019-2021), docente de la Maestría en Ingeniería Aeroespacial de la Universidad San Buenaventura y de la Escuela de Ingeniería, exbecaria del consorcio Global Espacial de Japón, sumó así un nuevo reconocimiento, luego de los obtenidos como ‘Premio Mujeres de Éxito Colombia 2020’ en la categoría Ciencia y Tecnología, el Best Young professional IEEE 2019, y Joven Promesa menor de 30 años, en la categoría internacional de Colparmex.

Fuente consultada /www.radionacional.co

Colombia autoriza a Starlink de Elon Musk uso del espectro por 20 años

La autorización del uso del espectro para servicios satelitales por parte de esta empresa podrá ser utilizada para llevar señal de radio, televisión, redes de telefonía móvil celular, entre otros.

Gobierno de Colombia, a través del Ministerio de Tecnologías de la Información y las Comunicaciones, otorgó por 20 años el permiso de funcionamiento a la compañía de internet satelital Starlink, del hombre más rico del mundo Elon Musk, que busca llevar mediante esta tecnología, conectividad a todo el país, especialmente a zonas de difícil acceso. También permitirá, eventualmente, fortalecer la implementación el 5G en Colombia.

Fuente consultada https://forbes.co

Tras un trabajo de cerca de ocho años entre las autoridades sanitarias y los productores de aguacate Hass en Colombia, el Gobierno de Chile dio el visto bueno para el ingreso del aguacate hass colombiano a ese mercado.

Así, la autoridad en el país austral otorgó admisibilidad al aguacate hass que se produce específicamente en 6 predios en Antioquia, 5 de Sonsón y 1 de Urrao, y habilitó a 10 plantas empacadoras ubicadas en Risaralda, Quindío, Antioquía y Valle del Cauca.

Fuente consultada https://forbes.co/

Base de Supertanqueros de Matanzas: Se avanza en el enfrentamiento al incendio aunque el peligro es latente

Los expertos coinciden en que el combate al incendio se encuentra en un momento más favorable. En las últimas horas el suministro de agua ha sido más estable y se han creado diques de contención que han impedido la propagación de las llamas.

No obstante, las autoridades advierten que un giro del viento puede avivar las llamas mientras quede combustible al alcance del fuego.

Ya han llegado 20 vuelos procedentes de México y la República Bolivariana de Venezuela, con 127 especialistas en siniestros que operan de manera conjunta con las fuerzas cubanas.

De estos se han recibido cerca de 45 000 litros de espuma retardante, así como ocho tanques de aire respirable con armadura, compresor, mangueras para el rack de aire autónomo y contenedores plásticos con accesorios.

Fuente consultada http://www.cubadebate.cu

Check Point Research, la división de Inteligencia de Amenazas Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder especializado en ciberseguridad a nivel mundial, ha publicado su Índice Global de Amenazas del mes de julio de 2022. Los investigadores informan que Emotet sigue manteniendo su reinado como el malware más utilizado, a pesar de que su impacto global se ha reducido en un 50% en comparación con el mes anterior.

Después de un pico negativo en el impacto global de Emotet en el mes de junio, ha alcanzado de nuevo sus cifras de impacto global y continúa como el malware más extendido. Posiblemente el impacto pudo disminuir debido a las vacaciones de verano. Sin embargo, no dejan de descubrirse nuevas características y mejoras en sus capacidades como, por ejemplo, el último módulo de robo de tarjetas de crédito y los ajustes en sus sistemas de propagación.

En julio Snake Keylogger, un ladrón de credenciales, ha caído del tercer al octavo puesto. En junio, se propagaba a través de documentos maliciosos de Word, por lo que la disminución de su prevalencia podría deberse en parte a la reciente confirmación de Microsoft de que bloqueará las macros por defecto. El tercer puesto lo ocupa XMRig, un software de código abierto para CPU que se utiliza para la extracción de criptomonedas, lo que indica que los ciberdelincuentes están en esto fundamentalmente "por el dinero", a pesar de las motivaciones superiores que puedan alegar, como el hacktivismo. Malibot, que apareció por primera vez en el informe del mes pasado, sigue siendo una amenaza para los usuarios de la banca móvil, ya que sigue siendo el tercer programa malicioso para móviles más frecuente en todo el mundo.

“Como era de esperar, Emotet continúa dominando nuestras listas mensuales de malware", explica Ivonne Pedraza, Territory Manager CCA de Check Point Software. “Esta botnet evoluciona continuamente para mantener su persistencia y evasión. Sus últimos desarrollos incluyen un módulo de robo de tarjetas de crédito, lo que significa que las empresas y los individuos deben tener un cuidado adicional al hacer cualquier compra online. Además, ahora que Microsoft ha confirmado que bloqueará las macros por defecto, estamos a la espera de ver cómo malwares, como Snake Keylogger, modifican sus tácticas”, concluye Ivonne Pedraza.

“La revelación de información del servidor web Git” ha sido la vulnerabilidad más explotada y común - ha afectado al 42% de las empresas de todo el mundo -, seguida muy de cerca por “Apache Log4j Remote Code Execution” que ha impactado en el 41% de las compañías a nivel mundial. “Servidores web URL maliciosos Directory Traversal” se sitúa en el tercer lugar del índice llegando a un 39% de las organizaciones.

Los 3 malware más buscados en Colombia en julio:
*Las flechas muestran el cambio de posición en el ranking en comparación con el mes anterior.

1. ↑ Glupteba – Conocida desde 2011, Glupteba es una puerta trasera que maduró gradualmente hasta convertirse en una botnet. Para 2019 incluía una actualización de direcciones C&C a través de listas públicas de BitCoin, una capacidad integral de robo de navegador y router exploiter. Ha atacado al 11.54% de las organizaciones en Colombia en julio y su impacto global para el mismo mes fue 1.25%.

2. ↓PseudoManuscrypt – Este malware es un software espía, utilizado en campañas de espionaje que amenazan principalmente a organizaciones gubernamentales y sistemas de control industrial. Vino con capacidades de espionaje avanzadas, incluidas capturas de la pantalla de las víctimas y la recopilación de credenciales de autenticación de VPN. Ha atacado al 10.26% de las organizaciones en Colombia en julio y su impacto global fue del 0.56% en el mismo periodo.

3. ↑Remcos - Es un RAT que apareció por primera vez en 2016. Se distribuye a través de documentos maliciosos de Microsoft Office que se adjuntan a los correos electrónicos SPAM, y está diseñado para eludir la seguridad UAC de Microsoft Windows y ejecutar el malware con privilegios de alto nivel. En Colombia en julio tuvo un impacto en las empresas del 9.83% y a nivel global del 1.66%.

Los sectores más atacados a nivel mundial:
Este mes, la Educación/Investigación es la industria más atacada a nivel mundial, seguida de las Gobierno/Militar y ISP/MSP.

1. Educación/Investigación
2. Gobierno/Militar
3. ISP/MSP

Top 3 vulnerabilidades más explotadas en julio:
1. ↑ Filtración de información del repositorio Git–La vulnerabilidad en la exposición de información en el repositorio Git está reportada. La explotación exitosa de esta vulnerabilidad podría permitir la divulgación involuntaria de información de la cuenta.
2. ↔ Ejecución remota de código en Apache Log4j (CVE-2021- 44228) – Existe una vulnerabilidad de ejecución remota de código en Apache Log4j que, si se explota de forma favorable, podría admitir un atacante remoto ejecutar código arbitrario en el sistema afectado.
3. ↓ Web Servers Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530, CVE-217-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) - Existe una vulnerabilidad de cruce de directorios en diferentes servidores web. La vulnerabilidad se debe a un error de validación de entrada en un servidor web que no sanea adecuadamente el URI para los patrones de recorrido de directorios. Una explotación exitosa permite a los atacantes remotos no autentificados acceder a archivos arbitrarios en el servidor vulnerable.

Top 3 del malware móvil mundial en julio:
1. AlienBot – Esta familia es un Malware-as-a-Service (MaaS) para dispositivos Android que permite a un atacante remoto, como primer paso, inyectar código malicioso en aplicaciones financieras legítimas. El ciberdelincuente obtiene acceso a las cuentas de las víctimas, y finalmente controla completamente su dispositivo.
2. Anubis – Anubis es un troyano bancario diseñado para teléfonos móviles Android. Desde que se detectó por primera vez, ha ganado funciones adicionales, incluyendo la capacidad de troyano de acceso remoto (RAT), keylogger, grabación de audio, entre otras. Se ha detectado en cientos de aplicaciones diferentes disponibles en la tienda de Google.
3. MaliBot - Malibot es un malware infostealer para Android que ha sido detectado dirigiéndose a usuarios de España e Italia. El infostealer se disfraza de aplicaciones de minería de criptomonedas bajo diferentes nombres y se centra en robar información financiera, carteras de criptomonedas y más datos personales. 

El Índice Global de Impacto de Amenazas de Check Point Software y su Mapa ThreatCloud están impulsados por la inteligencia ThreatCloud de Check Point Software. ThreatCloud proporciona inteligencia de amenazas en tiempo real derivada de cientos de millones de sensores en todo el mundo, sobre redes, endpoints y móviles. La inteligencia se enriquece con motores basados en IA y datos de investigación exclusivos de Check Point Research, la rama de inteligencia e investigación de Check Point Software Technologies.

El nuevo secretario de Salud Departamental del Amazonas, el Dr. Andrés Elías Carrascal Ángelo, se reunió con las referentes de Salud Pública y Jefes de Área, del Ente de Salud Territorial, para enterarse de primera mano de los procesos que se lideran en cada una de las dependencias y con ello hacer un diagnóstico de la situación, teniendo en cuenta las fortalezas y debilidades.

La intención del Dr. Carrascal es generar espacios de diálogo que contribuyan al trabajo articulado🤝 para avanzar 📈dinámicamente en los trámites administrativos🗃️, planes de acción📊 y todo lo concerniente a los temas de salud, en beneficio de la población amazonense👥, esto bajo la directriz del gobierno “Progresando Con Equidad”.

Secretaria de Salud Departamental Del Amazonas

📢¿Quieres buscar empleo? Conoce el nuevo curso virtual gratuito ‘Claves para ingresar al mundo laboral’, en el que aprenderás las herramientas básicas para buscar trabajo, ser autónoma y productiva.

Anímate e inscríbete👉 https://bit.ly/3igKE8U

El 7 de agosto de 1976, hace 46 años, CÁPAX era la noticia nacional. Después de superar un mar de dificultades cerró con broche de oro la Operación Rescate del río Magdalena, la primera campaña ambiental y social que llamó la atención de todos los colombianos.

CÁPAX, FELICITACIONES Y APLAUSOS! Sigues en la memoria de muchos colombianos que aún valoramos ese memorable pasado y lo que estás haciendo por la protección y defensa de las fuentes hídricas.

Toda la historia de Cápax en nuestro libro: Lo logré! Lo logré! Lo logré!

-Por medio de una alianza entre las partes, las mujeres se capacitaron por medio de cursos virtuales en habilidades para el teletrabajo y analítica de datos con perspectiva ética.

– El SENA y SheWorks!, la plataforma de mujeres más premiada del mundo que conecta a profesionales calificadas con empresas globales que buscan talento, entregaron más de 17 mil certificaciones en habilidades digitales y teletrabajo a mujeres colombianas, con el fin de exportar su talento al resto del mundo.

El objetivo estratégico de este programa educativo virtual se basó en brindar herramientas y oportunidades de crecimiento profesional, para fomentar la reactivación del empleo remoto femenino en el mercado laboral digital, de acuerdo a las necesidades generadas por la Cuarta Revolución Industrial.

“Colombia continúa dando pasos firmes para convertirse en el próximo Silicon Valley de América Latina, al poner en primer lugar la educación en habilidades digitales y trabajar con el firme propósito de cerrar la brecha de género en cada rincón del país. Hoy miles de mujeres colombianas dan un paso adelante en su camino profesional junto a SheWorks! y pronto serán muchas más”, expresó Carla Cassanello, Presidente de SheWorks!.

Por su parte, Carlos Mario Estrada Molina, Director General del SENA, manifestó, “todas las acciones y servicios que adelanta el Servicio Nacional de Aprendizaje, incorporan los principios de equidad de género y el empoderamiento de la mujer en la sociedad, incluyendo por supuesto, el desarrollo de habilidades digitales necesarias y su preparación para los desafíos de la Cuarta Revolución Industrial, importante misión que hemos impulsado de la mano de nuestro valioso aliado SheWorks!, que nos ha permitido avanzar en el fomento y reactivación del empleo con enfoque de género en el nuevo mercado laboral de la Industria 4.0”.

El programa tuvo una duración de tres meses, tiempo en el cual se brindaron certificaciones en Trabajo Remoto Nivel 1, Trabajo Remoto Nivel 2 y Analítica de Datos con Perspectiva Ética. Los cursos ofrecieron distintas soluciones a mujeres colombianas que buscan cambiar su destino
laboral, para que sean más competitivas en el mundo digital, con herramientas esenciales para el trabajo remoto y habilidades blandas como la gestión del tiempo, la colaboración, la empatía y la comunicación eficaz.

El SENA, junto con SheWorks!, trabajan en distintos proyectos que se adecúan a las necesidades del futuro en el trabajo, incluyendo inteligencia artificial, comercio social, marketing digital, entre otras habilidades fundamentales para el desarrollo de la economía naranja del país.

#DeInterés | El Programa Ampliado de Inmunizaciones, de la Secretaría de Salud del Departamento, lideró una semana de taller de reentrenamiento y evaluación para los vacunadores de los municipios de Leticia y Puerto Nariño.

En este espacio se abordaron temas como: red de frío para el buen almacenamiento de las vacunas, microplaneación para el desarrollo de las actividades en campo, manejo adecuado del sistema de información PAIWEB y vacunación segura. Todo con el fin de reforzar los conocimientos, presentar las actualizaciones o cambios que se han dado y fortalecer las habilidades para el trabajo con la comunidad.

Con estos espacios la Secretaría de Salud busca fortalecer las capacidades del personal de salud que se desempeña en el Departamento

#ProgresandoConEquidad

Fuente consultada https://www.facebook.com/profile.php?id=100068952138350

Como parte del Proceso de Transformación Institucional, a través de la vocación de sus funcionarios, la Policía Nacional en Amazonas demuestra su compromiso con la niñez en las comunidades indígenas.

"La educación es el camino al éxito”, con estas palabras el Patrullero Diego Orlando Cruz Raquira, un boyacense adscrito a la Subestación de Policía San José del Departamento de Policía Amazonas, al ver que las escuelas ubicadas en las comunidades indígenas de San Juan de los Parente y comunidad Monilla Mena, no contaban con algunos implementos para que los niños y niñas pudieran conseguir sus sueños a través del estudio, se dio a la tarea de realizar las gestiones para mejorar sus condiciones.

La vocación de este funcionario de la Policía Nacional transcendió a lugares donde nunca lo imaginó, tocando puertas y siendo escuchado por diferentes personas, entre ellas la Mayor General en uso de buen retiro Mireya Cordon López, quien junto a su grupo de trabajo, así como la Dirección Nacional de Escuelas, la Policía Fiscal y Aduanera, entre otros, aceptaron apoyar esta travesía por la educación de los niños y niñas en el departamento del Amazonas.

Por río y trocha, a pesar de las dificultades de la selva amazónica, el patrullero Diego Cruz, junto a todo su apoyo llegaron a la comunidad indígena San Juan de los Parente, donde fueron recibidos por los estudiantes de la institución educativa San Juan, a quienes se les brindó un espacio de actividades lúdico-recreativas acompañadas de un delicioso refrigerio, kits escolares (cuadernos, colores, lápices, etc.), pupitres, tableros o pizarras, libros, mesas, sillas, juegos didácticos para facilitar su aprendizaje, escritorios para que los docentes faciliten la enseñanza, entre otros elementos que ayudarán a forjar su futuro y la de sus familias.

Los docentes y padres de familia agradecieron la noble labor que lideró el patrullero de la Policía Diego Orlando Cruz y afirmaron su incondicional apoyo a la institución en estos momentos difíciles que atraviesan, expresando también, con una gran sonrisa, su gratitud por haber recibido este gran apoyo a la niñez en las comunidades indígenas del Amazonas.

La aventura continuó en la comunidad indígena Monilla Mena, ubicada a un poco más de nueve (9) kilómetros del municipio de Leticia, donde los niños y niñas de la institución educativa Toribía del Rio, recibieron los mismos elementos que el anterior colegio, así como las actividades lúdico recreativas para alegrar un poco más el día.

“Muchas gracias a la Policía Nacional y a quienes hicieron posible la entrega de estos elementos a esta comunidad indígena del kilómetro nueve”, manifestó la ‘profe Rosa’ como la llaman cariñosamente sus estudiantes, diciendo “Moenchi”, que en lengua materna significa gracias.

Las dos comunidades indígenas con inmensa gratitud despidieron a ese ángel vestido de verde y a sus acompañantes, quienes llegaron desde distintas partes del país al gran trapecio amazónico para edificar el futuro de niños y niñas, herederos del conocimiento y riquezas de los pueblos indígenas, pueblos que recordarán que un Policía siempre será un amigo en su región.

Senate Democrats pass climate change, health care, tax reform package

WASHINGTON — Senate Democrats on Sunday passed a sweeping climate change, health care and tax reform package, banding together as a caucus to vote down dozens of Republican amendments in a marathon session that delivered Democrats a legislative victory heading into the midterm election season.

The $739 billion bill named the Inflation Reduction Act will revive key portions of President Joe Biden’s domestic agenda — it calls for directing about $370 billion in federal funding to address global warming and gives the federal government’s Medicare program the ability to negotiate prescription drug prices. The measure also would set a new 15% minimum tax on some corporations that earn over $1 billion in profits annually.

The measure passed 51-50, with Vice President Kamala Harris serving as the tiebreaking vote after nearly 17 hours of debate that started late Saturday night and stretched until Sunday afternoon. Republicans had proposed nearly three dozen amendments looking to derail passage of the bill, but Democrats held together to vote down the proposals.

Fuente consultada https://www.newsday.com/

Battery-operated train technology, which the LIRR hoped would revolutionize how it operates nonelectrified tracks, has turned out to be too costly, inconvenient and risky to implement any time soon, the railroad said.

Long Island Rail Road officials said last month that they would not move forward with the next phase of testing the battery trains, citing costs as one of the main reasons. After a feasibility study, the railroad determined it would cost $26 million to outfit two electric train cars — significantly more than the cost of buying a pair of new train cars. The LIRR’s new M9 fleet cost about $3.6 million per car.

Source consulted https://www.newsday.com

Gerar oportunidades de emprego e renda

Tendo isso em vista, hoje (3), a Prefeitura de Tabatinga, por meio da Secretaria Municipal de Cultura e Turismo em Parceria com a AmazonasTur, realizou o "Turismo em Movimento", com atendimentos para empresários e empreendedores.

Nele, além de orientações de como iniciar ou legalizar o seu negócio, as pessoas receberam financiamentos para empreender no setor turístico.

Fuente consultada https://www.facebook.com/prefeituramunicipaldetabatingaAM

A Polícia Civil do Amazonas (PC-AM), por meio do Departamento de Investigação sobre Narcóticos (Denarc), com apoio da Coordenadoria de Operações e Recursos Especiais (Core-AM) e da Delegacia Fluvial (Deflu), deflagrou, na tarde quinta-feira (05/08), às 16h, ação policial que resultou na apreensão de 170 quilos de maconha do tipo skunk. A apreensão ocorreu em uma área de mata, próximo ao município de Novo Airão (a 115 quilômetros de Manaus).

Fuente consultada https://jamboverde.blogspot.com/

Más de 70 funcionarios de los diferentes grupos y especialidades del Departamento de Policía Amazonas, garantizaron la seguridad y convivencia en el municipio de Leticia y alrededores del parque Francisco de Orellana; sitio donde se realizó la transmisión por medio televisivo de la posesión del Doctor GUSTAVO PETRO como nuevo presidente de los colombianos.

Durante el desarrollo del evento no se presentaron niñas o actos de intolerancia, sin embargo, la Policía Nacional de los Colombianos, siempre estuvo presente y atento ante cualquier situación que pudiera alterar la tranquilidad de los ciudadanos en la triple frontera.

Invitamos a la comunidad en general a seguir trabajando de la mano de su Policía Nacional, denunciando cualquier acto delictivo o actividades ilícitas que afecten la seguridad y convivencia ciudadana, a través de la línea de emergencia 123 de la institución.

Las vulnerabilidades se encontraron en el Trusted Environment de Xiaomi. Check Point Research ha encontrado vulnerabilidades que podrían permitir la falsificación del pago y la desactivación del sistema desde una aplicación Android sin privilegios.
Los investigadores de Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha identificado vulnerabilidades en el mecanismo de pago por móvil de Xiaomi. Si se deja sin parchear, un atacante podría robar las claves privadas utilizadas para firmar los paquetes de control y pago de Wechat Pay. En el peor de los casos, una aplicación Android sin privilegios podría haber creado y firmado un paquete de pago falso.

Los pagos con el móvil se han hecho muy populares y se han convertido en una forma de cobro habitual en todo el mundo. Según las últimas estadísticas del portal Statistica, en 2021 el Extremo Oriente y China representaron dos tercios de los pagos móviles del mundo. Esto supone unos 4 billones de dólares en transacciones de monederos móviles. Una cantidad tan grande de dinero atrae sin duda la atención de los ciberdelincuentes.

En concreto, las vulnerabilidades se encontraron en el Trusted Environment de Xiaomi, encargado de almacenar y gestionar información sensible como claves y contraseñas. Los dispositivos estudiados estaban equipados con chips MediaTek. CPR descubrió dos formas de atacar el código de confianza:

1. Desde una aplicación Android sin privilegios: el usuario instala una aplicación maliciosa y la lanza. La app extrae las claves y envía un paquete de pago falso para robar el dinero.
2. Si el ciberdelincuente tiene los dispositivos objetivo en sus manos: rootea el dispositivo, luego baja el entorno de confianza y después ejecuta el código para crear un paquete de pago falso sin necesidad de una aplicación.

Si el TEE es seguro, también lo son sus pagos
El entorno de ejecución de confianza (TEE) ha sido una parte integral de los dispositivos móviles durante muchos años. Su objetivo principal es procesar y almacenar información de seguridad sensible, como claves criptográficas y huellas dactilares. Dado que las firmas de los pagos móviles se llevan a cabo en el TEE, suponemos que, si el TEE es seguro, también lo son sus pagos.

El mercado asiático, representado principalmente por los smartphones basados en chips MediaTek, aún no ha sido ampliamente explorado. Nadie está examinando las aplicaciones de confianza escritas por los proveedores de dispositivos, como Xiaomi, a pesar de que la gestión de la seguridad y el núcleo de los pagos móviles están implementados allí. La investigación actual es la primera que se hace para examinar sus aplicaciones en busca de problemas de seguridad.

Las aplicaciones de confianza de Xiaomi pueden ser degradadas
Xiaomi puede incrustar y firmar sus propias aplicaciones de confianza. Los investigadores han descubierto que un atacante puede transferir una versión antigua de una aplicación de confianza al dispositivo y utilizarla para sobrescribir el archivo de la nueva aplicación. Por lo tanto, un ciberdelincuente puede eludir las correcciones de seguridad realizadas por Xiaomi o MediaTek en sus apps.

Además, se han descubierto varias vulnerabilidades en la aplicación de confianza thhadmin, responsable de la gestión de la seguridad, que podrían aprovecharse para filtrar claves almacenadas o ejecutar código en el contexto de la aplicación y, a continuación, realizar prácticamente acciones maliciosas falsificadas.

Comprometida la estructura de pago móvil integrada
Los dispositivos Xiaomi tienen un framework de pago móvil integrado llamado Tencent Soter que proporciona una API para que las aplicaciones Android de terceros integren las capacidades de pago. Su función principal es proporcionar la capacidad de verificar las transferencias de paquetes de pago entre una aplicación móvil y un servidor backend remoto, que son esencialmente la seguridad y la protección con las que todos contamos cuando realizamos pagos móviles. Según Tencent, cientos de millones de dispositivos Android son compatibles con Tencent soter. La vulnerabilidad que se ha encontrado, a la que Xiaomi ha asignado CVE-2020-14125, compromete por completo la plataforma soterrada de Tencent, permitiendo a un usuario no autorizado firmar paquetes de pago falsos.

WeChat Pay y Alipay son los dos mayores operadores del sector de los pagos digitales en China. Juntos, representan alrededor del 95% del mercado chino de pagos móviles. Cada una de estas plataformas tiene más de mil millones de usuarios. WeChat Pay está basado en el soterramiento de Tencent. Si un vendedor de aplicaciones quiere implantar su propio sistema de pago, incluido el backend que almacena las tarjetas de crédito de los usuarios, las cuentas bancarias, etc., sin estar vinculado a la aplicación WeChat, puede utilizar directamente el soter de Tencent para verificar la autenticidad de las transacciones en su servidor de backend.

Check Point Research ha colaborado con Xiaomi, que reconoció las vulnerabilidades y proporcionó correcciones para las mismas.

“Descubrimos un conjunto de vulnerabilidades que podrían permitir la falsificación de paquetes de pago o su desactivación desde una aplicación Android sin privilegios. Fuimos capaces de hackear WeChat Pay e implementamos una prueba de concepto totalmente operativa. Nuestra investigación es la primera que se hace para revisar las aplicaciones de confianza de Xiaomi en busca de problemas de seguridad. Inmediatamente comunicamos nuestros hallazgos a Xiaomi, que trabajó rápidamente para emitir una solución. Lo que queremos decir a los usuarios es que se aseguren constantemente de que sus teléfonos están actualizados con la última versión proporcionada por el fabricante. Si ni siquiera los pagos por móvil son seguros, ¿qué lo es?”, explica Slava Makkaveev, investigador de seguridad de Check Point Software.