Bezpečnostní firma Reco pojmenovala tuto probíhající kampaň City-Forum podle domény city-forum.com, která je navázána na útočníkovu infrastrukturu. Přinejmenším od března 2025 jeden pronajatý server v Německu systematicky stahuje data od telekomunikačních operátorů, bank, finančních institucí, dodavatelů podnikového softwaru a z portálů veřejné správy.

Jak zneužití funguje: Není potřeba žádná zranitelnost

Platformy Salesforce i ServiceNow mají vestavěné účty hostů pro neautentizované návštěvníky. Tyto účty hostů nelze smazat. Jejich oprávnění – tedy k jakým záznamům a objektům mají přístup – nastavuje každá organizace. Pokud má profil hosta oprávnění ke čtení určitého záznamu, může si ho z internetu kdokoli stáhnout prostřednictvím zcela legitimních API koncových bodů.

Na Salesforce (framework Aura):

• Nástroj odesílá POST požadavky na koncový bod /aura nebo /s/sfsites/aura.
• Nejprve volá HostConfigController.getConfigData, aby zjistil, které objekty (Account, Contact, Case, Lead, User, ContentDocument atd.) jsou pro hosta přístupné.
• Poté používá SelectableListDataProviderController.getItems k postupnému procházení všech záznamů v každém přístupném objektu.
• U jednoho z nejvíce zasažených cílů bylo zaznamenáno přes 560 000 událostí z IP adresy útočníka, téměř všechny představovaly Aura enumeraci hostem.

Na Salesforce (framework LWR – Lightning Web Runtime):

• Jde o vůbec první zaznamenané zneužití Salesforce UI-API pro hosty na LWR webech v reálném provozu.
• Nástroj cílí na GraphQL koncový bod na adrese POST /webruntime/api/services/data/{version}/graphql?asGuest=true, nejprve zjistí schéma pomocí EntityDefinition a poté čte záznamy pomocí kurzorové paginace.
• Prochází sekvenčně API verze v56.0 až v66.0 proti každému nalezenému LWR webu.

Na ServiceNow:

• Nástroj cílí na koncový bod /api/now/sp/search – nativní vyhledávací API ServiceNow portálu, které je z velké části nedokumentované a neexistují k němu téměř žádné online materiály ani nástroje s otevřeným zdrojovým kódem.
• Tento koncový bod je ze své podstaty veřejný. To, jaká data vrací, závisí výhradně na tom, které vyhledávací zdroje jsou připojeny k portálu pro hosty a zda tyto zdroje vynucují pravidla přístupu.

Testování možnosti vlastní registrace (Salesforce):

• Nástroj ke každé nalezené cestě k Experience webu připojuje /SiteRegister a /CommunitiesSelfReg, aby otestoval, zda je povolena vlastní registrace uživatelů. Pokud ano, host se může povýšit na autentizovaného externího uživatele a získat přístup k výrazně většímu množství dat.

Vlastní nástroje a infrastruktura

• Zdrojová IP adresa: 158.220.87.79, hostovaná na VPS od Contabo (německý hosting), překládající se na doménu city-forum.com (doména zaregistrovaná v roce 2002, opuštěná a znovu použita).
• Stejná IP adresa nese stejnou doménu od března 2025 beze změny – tedy nejméně 17 měsíců na jedné adrese.
• Vlastní Go binárka: Jediný nástroj napsaný v jazyce Go, který útočí na Salesforce přes frameworky Aura i LWR a zároveň na ServiceNow – vše z jednoho serveru. Jde o vlastní víceplatformovou sadu nástrojů, nikoli o běžný nástroj jako AuraInspector.
• Nástroj používá výchozí User-Agent Go-http-client z knihovny Go, což usnadňuje jeho identifikaci v logách.

Zasažené organizace

Podle Reco patří mezi hlavní cíle:

• Telekomunikační operátoři
• Banky a finanční instituce
• Dodavatelé podnikového softwaru (včetně bezpečnostních firem a společností zabývajících se ochranou dat)
• Portály veřejné správy

Proč standardní auditní logy neodhalí, jaká data byla odcizena

Pro ServiceNow: Transakční logy platformy (syslog_transaction) nezaznamenávají tělo POST požadavků na /api/now/sp/search. Správci sice vidí, že proběhla automatizovaná vyhledávání a kolik dat bylo vráceno (podle sloupce délky výstupu), ale nemohou zjistit přesné vyhledávací dotazy ani to, které konkrétní záznamy byly staženy.

Pro Salesforce: Provoz představující enumeraci hostem sestává z legitimních, protokolu vyhovujících API volání, která vypadají jako běžný provoz webu. Event Monitoring sice může ukázat objem událostí AuraRequest a Sites od uživatelů-hostů, ale logy ukazují pouze to, že data byla požadována, nikoli konkrétní obsah toho, co bylo vráceno v GraphQL nebo Aura odpovědích.

Jinými slovy: můžete vidět, že útočník byl přítomen a kolik dat stáhl, ale nedokážete rekonstruovat, které konkrétní záznamy nebo pole extrahoval.

Doporučená nápravná opatření

Pro Salesforce (doporučení Reco):

1. Zpřísněte pravidla sdílení pro hosty – nejúčinnější jedno opatření. Odstraňte všechna pravidla sdílení, která sdílejí záznamy s uživatelem-hostem nad rámec toho, co web skutečně potřebuje pro veřejnou funkci.
2. Odeberte oprávnění na úrovni objektů a polí z profilu hosta. Odstraňte přístup pro čtení u objektů, které web nepotřebuje pro anonymní návštěvníky.
3. Odeberte oprávnění "Access Activities" z profilu hosta (zpřístupňuje úkoly a události).
4. Zakažte "API Enabled" u uživatele-hosty.
5. Zakažte vlastní registraci, pokud to web opravdu nevyžaduje.
6. Zakažte přístup hostů k souborům a viditelnost členů, aby hosté nemohli stahovat soubory ContentDocument nebo enumerovat ostatní členy webu.
7. Pro weby LWR: V Experience Builder → Workspaces → Administration → Preferences zrušte zaškrtnutí "Allow guest users to access public APIs." Tím jedním krokem uzavřete GraphQL a REST API koncové body UI-API.

Pro ServiceNow (doporučení Reco):

1. Zmapujte portály pro hosty k jejich vyhledávacím zdrojům. Zkontrolujte tabulky sp_portal, m2m_sp_portal_search_source a sp_search_source. Odpojte všechny vyhledávací zdroje, které veřejný portál nepotřebuje.
2. Zkontrolujte logiku každého vyhledávacího zdroje – zejména is_scripted_source, data_fetch_script a to, zda používá GlideRecordSecure (vynucující ACL) nebo prostý GlideRecord (který je nevynucuje).
3. Zkontrolujte kritéria "Can Read" u znalostní báze – hledejte neomezený přístup "Any User", který zpřístupňuje citlivé znalostní báze prostřednictvím vyhledávání hostů.
4. Odpojte chybné kb_uc_can_read_mtom odkazy raději než slepě upravovat pravidla sdílení.

Detekční doporučení:

• Salesforce Event Monitoring: Sledujte vysoký objem getItems a getConfigData z USER_TYPE = 'Guest', verze /webruntime/.../vNN.0/graphql a volání na /SiteRegister a /CommunitiesSelfReg.
• ServiceNow syslog_transaction: Sledujte požadavky na /api/now/sp/search od hostů. Seřaďte podle délky výstupu – řádky vracející výrazně více dat než malá základní hodnota prázdného výsledku indikují vyhledávání, která vrátila obsah.

Bezpečnostní firma Reco pojmenovala tuto probíhající kampaň City-Forum podle domény city-forum.com, která je navázána na útočníkovu infrastrukturu. Přinejmenším od března 2025 jeden pronajatý server v Německu systematicky stahuje data od telekomunikačních operátorů, bank, finančních institucí, dodavatelů podnikového softwaru a z portálů veřejné správy.

Jak zneužití funguje: Není potřeba žádná zranitelnost

Platformy Salesforce i ServiceNow mají vestavěné účty hostů pro neautentizované návštěvníky. Tyto účty hostů nelze smazat. Jejich oprávnění – tedy k jakým záznamům a objektům mají přístup – nastavuje každá organizace. Pokud má profil hosta oprávnění ke čtení určitého záznamu, může si ho z internetu kdokoli stáhnout prostřednictvím zcela legitimních API koncových bodů.

Na Salesforce (framework Aura):

• Nástroj odesílá POST požadavky na koncový bod /aura nebo /s/sfsites/aura.
• Nejprve volá HostConfigController.getConfigData, aby zjistil, které objekty (Account, Contact, Case, Lead, User, ContentDocument atd.) jsou pro hosta přístupné.
• Poté používá SelectableListDataProviderController.getItems k postupnému procházení všech záznamů v každém přístupném objektu.
• U jednoho z nejvíce zasažených cílů bylo zaznamenáno přes 560 000 událostí z IP adresy útočníka, téměř všechny představovaly Aura enumeraci hostem.

Na Salesforce (framework LWR – Lightning Web Runtime):

• Jde o vůbec první zaznamenané zneužití Salesforce UI-API pro hosty na LWR webech v reálném provozu.
• Nástroj cílí na GraphQL koncový bod na adrese POST /webruntime/api/services/data/{version}/graphql?asGuest=true, nejprve zjistí schéma pomocí EntityDefinition a poté čte záznamy pomocí kurzorové paginace.
• Prochází sekvenčně API verze v56.0 až v66.0 proti každému nalezenému LWR webu.

Na ServiceNow:

• Nástroj cílí na koncový bod /api/now/sp/search – nativní vyhledávací API ServiceNow portálu, které je z velké části nedokumentované a neexistují k němu téměř žádné online materiály ani nástroje s otevřeným zdrojovým kódem.
• Tento koncový bod je ze své podstaty veřejný. To, jaká data vrací, závisí výhradně na tom, které vyhledávací zdroje jsou připojeny k portálu pro hosty a zda tyto zdroje vynucují pravidla přístupu.

Testování možnosti vlastní registrace (Salesforce):

• Nástroj ke každé nalezené cestě k Experience webu připojuje /SiteRegister a /CommunitiesSelfReg, aby otestoval, zda je povolena vlastní registrace uživatelů. Pokud ano, host se může povýšit na autentizovaného externího uživatele a získat přístup k výrazně většímu množství dat.

Vlastní nástroje a infrastruktura

• Zdrojová IP adresa: 158.220.87.79, hostovaná na VPS od Contabo (německý hosting), překládající se na doménu city-forum.com (doména zaregistrovaná v roce 2002, opuštěná a znovu použita).
• Stejná IP adresa nese stejnou doménu od března 2025 beze změny – tedy nejméně 17 měsíců na jedné adrese.
• Vlastní Go binárka: Jediný nástroj napsaný v jazyce Go, který útočí na Salesforce přes frameworky Aura i LWR a zároveň na ServiceNow – vše z jednoho serveru. Jde o vlastní víceplatformovou sadu nástrojů, nikoli o běžný nástroj jako AuraInspector.
• Nástroj používá výchozí User-Agent Go-http-client z knihovny Go, což usnadňuje jeho identifikaci v logách.

Zasažené organizace

Podle Reco patří mezi hlavní cíle:

• Telekomunikační operátoři
• Banky a finanční instituce
• Dodavatelé podnikového softwaru (včetně bezpečnostních firem a společností zabývajících se ochranou dat)
• Portály veřejné správy

Proč standardní auditní logy neodhalí, jaká data byla odcizena

Pro ServiceNow: Transakční logy platformy (syslog_transaction) nezaznamenávají tělo POST požadavků na /api/now/sp/search. Správci sice vidí, že proběhla automatizovaná vyhledávání a kolik dat bylo vráceno (podle sloupce délky výstupu), ale nemohou zjistit přesné vyhledávací dotazy ani to, které konkrétní záznamy byly staženy.

Pro Salesforce: Provoz představující enumeraci hostem sestává z legitimních, protokolu vyhovujících API volání, která vypadají jako běžný provoz webu. Event Monitoring sice může ukázat objem událostí AuraRequest a Sites od uživatelů-hostů, ale logy ukazují pouze to, že data byla požadována, nikoli konkrétní obsah toho, co bylo vráceno v GraphQL nebo Aura odpovědích.

Jinými slovy: můžete vidět, že útočník byl přítomen a kolik dat stáhl, ale nedokážete rekonstruovat, které konkrétní záznamy nebo pole extrahoval.

Doporučená nápravná opatření

Pro Salesforce (doporučení Reco):

1. Zpřísněte pravidla sdílení pro hosty – nejúčinnější jedno opatření. Odstraňte všechna pravidla sdílení, která sdílejí záznamy s uživatelem-hostem nad rámec toho, co web skutečně potřebuje pro veřejnou funkci.
2. Odeberte oprávnění na úrovni objektů a polí z profilu hosta. Odstraňte přístup pro čtení u objektů, které web nepotřebuje pro anonymní návštěvníky.
3. Odeberte oprávnění "Access Activities" z profilu hosta (zpřístupňuje úkoly a události).
4. Zakažte "API Enabled" u uživatele-hosty.
5. Zakažte vlastní registraci, pokud to web opravdu nevyžaduje.
6. Zakažte přístup hostů k souborům a viditelnost členů, aby hosté nemohli stahovat soubory ContentDocument nebo enumerovat ostatní členy webu.
7. Pro weby LWR: V Experience Builder → Workspaces → Administration → Preferences zrušte zaškrtnutí "Allow guest users to access public APIs." Tím jedním krokem uzavřete GraphQL a REST API koncové body UI-API.

Pro ServiceNow (doporučení Reco):

1. Zmapujte portály pro hosty k jejich vyhledávacím zdrojům. Zkontrolujte tabulky sp_portal, m2m_sp_portal_search_source a sp_search_source. Odpojte všechny vyhledávací zdroje, které veřejný portál nepotřebuje.
2. Zkontrolujte logiku každého vyhledávacího zdroje – zejména is_scripted_source, data_fetch_script a to, zda používá GlideRecordSecure (vynucující ACL) nebo prostý GlideRecord (který je nevynucuje).
3. Zkontrolujte kritéria "Can Read" u znalostní báze – hledejte neomezený přístup "Any User", který zpřístupňuje citlivé znalostní báze prostřednictvím vyhledávání hostů.
4. Odpojte chybné kb_uc_can_read_mtom odkazy raději než slepě upravovat pravidla sdílení.

Detekční doporučení:

• Salesforce Event Monitoring: Sledujte vysoký objem getItems a getConfigData z USER_TYPE = 'Guest', verze /webruntime/.../vNN.0/graphql a volání na /SiteRegister a /CommunitiesSelfReg.
• ServiceNow syslog_transaction: Sledujte požadavky na /api/now/sp/search od hostů. Seřaďte podle délky výstupu – řádky vracející výrazně více dat než malá základní hodnota prázdného výsledku indikují vyhledávání, která vrátila obsah.