Kempen City-Forum: Pencurian Data Senyap yang Eksploitasi Akses Tetamu Salesforce dan ServiceNow

Selama sekurang-kurangnya 17 bulan, seorang pelaku ancaman yang tidak dikenali telah secara senyap mengeluarkan rekod dari laman Salesforce Experience Cloud dan Service Portals ServiceNow di seluruh dunia — tanpa mengeksploitasi sebarang kelemahan perisian, mencuri bukti kelayakan, atau memintas pengesahan. Penyerang hanya menggunakan apa yang telah dijadikan tersedia oleh organisasi kepada orang ramai melalui akses pengguna tetamu (tanpa nama) platform terbina dalam.

Firma keselamatan Reco telah menamakan kempen berterusan ini sebagai City-Forum, sempena domain city-forum.com yang didaftarkan ke infrastruktur penyerang. Sejak sekurang-kurangnya Mac 2025, satu pelayan sewaan di Jerman telah secara sistematik menuai data daripada penyedia telekomunikasi, bank, firma perkhidmatan kewangan, vendor perisian perusahaan, dan portal sektor awam.

Bagaimana Eksploitasi Berfungsi: Tiada Kelemahan Diperlukan

Kedua-dua Salesforce dan ServiceNow dilengkapi dengan akaun pengguna tetamu kekal untuk pelawat yang tidak disahkan. Pengguna tetamu ini tidak boleh dipadamkan. Kebenaran mereka — rekod dan objek yang boleh mereka baca — dikonfigurasikan oleh setiap organisasi. Jika profil tetamu mempunyai akses baca kepada rekod, sesiapa sahaja di internet boleh mendapatkannya melalui titik akhir API yang sah sepenuhnya.

Pada Salesforce (rangka kerja Aura):

• Alat ini menghantar permintaan POST ke titik akhir /aura atau /s/sfsites/aura.
• Ia mula-mula memanggil HostConfigController.getConfigData untuk menghitung objek mana (Akaun, Kenalan, Kes, Plumbum, Pengguna, ContentDocument, dll.) yang boleh diakses oleh tetamu.
• Ia kemudian menggunakan SelectableListDataProviderController.getItems untuk menatal melalui semua rekod pada setiap objek yang boleh diakses.
• Sasaran tunggal paling sibuk merekodkan lebih daripada 560,000 acara dari IP penyerang, hampir kesemuanya adalah penghitungan Aura tetamu.

Pada Salesforce (rangka kerja LWR — Lightning Web Runtime):

• Ini adalah eksploitasi pertama yang diperhatikan di alam liar terhadap permukaan tetamu UI-API Salesforce di laman LWR.
• Alat ini menyasarkan titik akhir GraphQL di

  POST /webruntime/api/services/data/{version}/graphql?asGuest=true

  , mula-mula menghitung skema melalui EntityDefinition, kemudian membaca rekod dengan penomboran berasaskan kursor.
• Ia menyapu versi API v56.0 hingga v66.0 secara berurutan terhadap setiap laman LWR yang ditemui.

Pada ServiceNow:

• Alat ini menyasarkan titik akhir /api/now/sp/search — API carian Service Portal asli yang sebahagian besarnya tidak didokumenkan dan hampir tiada dokumentasi dalam talian atau alat sumber terbuka yang merujuknya.
• Titik akhir ini bersifat awam mengikut reka bentuk. Data yang dikembalikan bergantung sepenuhnya pada sumber carian mana yang dilampirkan pada portal berhadapan tetamu dan sama ada sumber tersebut menguatkuasakan kawalan akses.

Peninjauan pendaftaran sendiri (Salesforce):

• Alat ini menambahkan /SiteRegister dan /CommunitiesSelfReg pada setiap laluan tapak pengalaman yang ditemui untuk menguji sama ada pendaftaran sendiri diaktifkan. Jika ya, tetamu boleh menaik taraf dirinya kepada pengguna luaran yang disahkan, mendapat akses kepada lebih banyak data.

Alat dan Infrastruktur Tersuai

• IP Sumber: 158.220.87.79, dihoskan pada VPS Contabo (pembekal hosting Jerman), menyelesaikan ke domain city-forum.com (domain yang didaftarkan pada 2002, ditinggalkan, kemudian digunakan semula).
• IP yang sama telah membawa domain yang sama sejak Mac 2025 tanpa putaran — sekurang-kurangnya 17 bulan pada satu alamat.
• Perduaan Go tersuai: Satu alat kompilasi Go yang melanda Salesforce melalui kedua-dua rangka kerja Aura dan LWR dan juga melanda ServiceNow — semuanya dari pelayan yang sama. Ini adalah set alat pelbagai platform tersuai, bukan alat siap sedia seperti AuraInspector.
• Alat ini menggunakan rentetan User-Agent lalai Go-http-client Go, menjadikannya mudah dikenal pasti dalam log.

Organisasi yang Disasarkan

Reco melaporkan bahawa sasaran utama termasuk:

• Pengendali telekomunikasi
• Bank dan firma perkhidmatan kewangan
• Vendor perisian perusahaan (termasuk syarikat keselamatan dan privasi data)
• Portal sektor awam

Mengapa Log Audit Standard Tidak Dapat Mendedahkan Data Apa yang Diambil

Untuk ServiceNow: Log transaksi platform (syslog_transaction) tidak merekodkan badan POST bagi permintaan /api/now/sp/search. Pembela dapat melihat bahawa carian automatik berlaku dan berapa banyak data yang dikembalikan (melalui lajur panjang output), tetapi tidak dapat menentukan istilah carian tepat atau rekod khusus mana yang diambil.

Untuk Salesforce: Trafik penghitungan tetamu terdiri daripada panggilan API yang sah dan mematuhi protokol yang kelihatan seperti trafik tapak biasa. Walaupun Pemantauan Acara dapat menunjukkan volum peristiwa AuraRequest dan Sites daripada pengguna tetamu, log menunjukkan bahawa data diminta tetapi bukan kandungan khusus tentang apa yang dikembalikan dalam respons GraphQL atau Aura.

Dengan kata lain, anda dapat melihat penyerang ada di sana dan berapa banyak yang mereka tarik, tetapi anda tidak dapat membina semula dengan tepat rekod atau medan mana yang mereka ekstrak.

Langkah Pemulihan yang Disyorkan

Untuk Salesforce (cadangan Reco):

1. Ketatkan peraturan perkongsian tetamu — kawalan berimpak tertinggi tunggal. Alih keluar sebarang peraturan perkongsian yang berkongsi rekod dengan Pengguna Tetamu melebihi apa yang tapak benar-benar perlukan untuk berkhidmat secara terbuka.
2. Keluarkan kebenaran peringkat objek dan medan daripada profil tetamu. Alih keluar akses baca pada objek yang tapak tidak perlukan untuk pelawat tanpa nama.
3. Keluarkan kebenaran "Access Activities" daripada profil tetamu (mendedahkan Tugasan dan Acara).
4. Lumpuhkan "API Enabled" pada pengguna tetamu.
5. Lumpuhkan pendaftaran sendiri melainkan tapak benar-benar memerlukannya.
6. Lumpuhkan akses fail tetamu dan keterlihatan ahli supaya tetamu tidak dapat mengambil fail ContentDocument atau menghitung ahli tapak lain.
7. Untuk laman LWR sahaja: Dalam Experience Builder → Workspaces → Administration → Preferences, nyah tanda "Allow guest users to access public APIs." Ini menutup GraphQL dan titik akhir REST UI-API dalam satu langkah.

Untuk ServiceNow (cadangan Reco):

1. Petakan portal berhadapan tetamu ke sumber carian mereka. Periksa jadual sp_portal, m2m_sp_portal_search_source, dan sp_search_source. Tanggalkan sebarang sumber carian yang tidak diperlukan oleh portal awam.
2. Semak logik setiap sumber carian — terutamanya is_scripted_source, data_fetch_script, dan sama ada ia menggunakan GlideRecordSecure (penguatkuasaan ACL) vs. GlideRecord biasa (yang tidak).
3. Semak kriteria pengguna pangkalan pengetahuan "Can Read" — cari akses "Mana-mana Pengguna" yang tidak terhad yang mendedahkan KB sensitif melalui carian tetamu.
4. Tanggalkan pautan kb_uc_can_read_mtom yang buruk daripada mengedit peraturan perkongsian secara membuta tuli.

Panduan Pengesanan:

• Pemantauan Acara Salesforce: Cari volum tinggi getItems dan getConfigData daripada

  USER_TYPE = 'Guest'

  , sapuan versi /webruntime/.../vNN.0/graphql, dan hits pada /SiteRegister dan /CommunitiesSelfReg.
• syslog_transaction ServiceNow: Cari permintaan /api/now/sp/search yang dibuat sebagai tetamu. Isih mengikut panjang output — baris yang mengembalikan lebih banyak daripada garis dasar hasil kosong kecil menunjukkan carian yang mengembalikan kandungan.