City-Forum: Tek Bir Sunucu, 17 Aydır Güvenlik Açığı Kullanmadan Salesforce ve ServiceNow'dan Nasıl Veri Çalıyor?

En az 17 aydır kimliği belirsiz bir tehdit aktörü, dünya çapındaki Salesforce Experience Cloud sitelerinden ve ServiceNow Service Portallarından sessizce veri çekiyor. Bunu yaparken tek bir yazılım güvenlik açığından yararlanmıyor, kimlik bilgilerini çalmıyor veya kimlik doğrulamayı atlamıyor. Saldırgan, yalnızca kuruluşların platformların yerleşik misafir kullanıcı (anonim) erişimi aracılığıyla zaten herkese açık hale getirdiği verileri kullanıyor.

Güvenlik firması Reco, bu devam eden kampanyaya, saldırganın altyapısına bağlı olan city-forum.com alan adından esinlenerek City-Forum adını verdi. En az Mart 2025'ten bu yana, Almanya'da kiralanan tek bir sunucu, telekomünikasyon sağlayıcıları, bankalar, finansal hizmet firmaları, kurumsal yazılım satıcıları ve kamu sektörü portallarından sistematik olarak veri topluyor.

Nasıl Çalışıyor: Güvenlik Açığı Gerekmiyor

Hem Salesforce hem de ServiceNow, kimlik doğrulaması yapmamış ziyaretçiler için kalıcı misafir kullanıcı hesapları ile birlikte gelir. Bu misafir kullanıcılar silinemez. Hangi kayıtları ve nesneleri okuyabilecekleri, her kuruluş tarafından yapılandırılır. Misafir profili bir kayda okuma erişimine sahipse, internet üzerindeki herkes bu kaydı tamamen meşru API uç noktaları aracılığıyla alabilir.

Salesforce'ta (Aura framework):

• Araç, /aura veya /s/sfsites/aura uç noktasına POST istekleri gönderir.
• İlk olarak, misafirin hangi nesnelere (Hesap, Kişi, Dosya, Kullanıcı, İçerik Belgesi vb.) erişebileceğini listelemek için HostConfigController.getConfigData işlevini çağırır.
• Daha sonra, erişilebilir her nesnedeki tüm kayıtları sayfalamak için SelectableListDataProviderController.getItems işlevini kullanır.
• En yoğun hedeflerden birinde, saldırganın IP'sinden 560.000'den fazla olay kaydedildi ve bunların neredeyse tamamı misafir Aura numaralandırmasıydı.

Salesforce'ta (LWR — Lightning Web Runtime):

• Bu, Salesforce'un LWR sitelerindeki UI-API misafir yüzeyinin ortamda ilk kez gözlemlenen kullanımıdır.
• Araç, ilk olarak EntityDefinition aracılığıyla şemayı numaralandırarak ve ardından imleç tabanlı sayfalama ile kayıtları okuyarak,

  POST /webruntime/api/services/data/{version}/graphql?asGuest=true

  adresindeki bir GraphQL uç noktasını hedef alır.
• Keşfedilen her LWR sitesine karşı sırayla API sürümleri v56.0 ila v66.0'ı tarar.

ServiceNow'da:

• Araç, /api/now/sp/search uç noktasını hedef alır. Bu, büyük ölçüde belgelenmemiş ve kendisine atıfta bulunan neredeyse hiçbir çevrimiçi dokümantasyonu veya açık kaynak aracı bulunmayan, yerel bir Service Portal arama API'sidir.
• Bu uç nokta, tasarım gereği herkese açıktır. Hangi verileri döndürdüğü, tamamen misafir odaklı bir portala hangi arama kaynaklarının eklendiğine ve bu kaynakların erişim kontrollerini uygulayıp uygulamadığına bağlıdır.

Kendi kendine kayıt denemesi (Salesforce):

• Araç, kendi kendine kaydın etkin olup olmadığını test etmek için keşfedilen her deneyim sitesi yoluna /SiteRegister ve /CommunitiesSelfReg ekler. Etkinse, bir misafir kendisini kimliği doğrulanmış bir harici kullanıcıya yükseltebilir ve çok daha fazla veriye erişebilir.

Özel Araç Seti ve Altyapı

• Kaynak IP: 158.220.87.79, Contabo (Alman barındırma sağlayıcısı) üzerinde bir VPS'de barındırılıyor ve city-forum.com alan adına çözümleniyor (2002'de kaydedilmiş, terk edilmiş ve yeniden kullanıma alınmış bir alan adı).
• Aynı IP, Mart 2025'ten bu yana aynı alan adını taşıyor ve en az 17 aydır değişmiyor.
• Özel Go binary'si: Salesforce'u hem Aura hem de LWR framework'leri üzerinden ve aynı sunucudan ServiceNow'u hedef alan, Go dilinde derlenmiş tek bir araç. Bu, AuraInspector gibi hazır bir araç değil, özel, çok platformlu bir araç setidir.
• Araç, Go'nun varsayılan Go-http-client User-Agent dizesini kullanır ve bu da onu günlüklerde tanımlamayı kolaylaştırır.

Hedef Alınan Kuruluşlar

Reco'ya göre birincil hedefler şunlardır:

• Telekom operatörleri
• Bankalar ve finansal hizmet firmaları
• Kurumsal yazılım satıcıları (güvenlik ve veri gizliliği şirketleri dahil)
• Kamu sektörü portalları

Standart Denetim Günlükleri Neden Hangi Verilerin Alındığını Gösteremiyor?

ServiceNow için: Platformun işlem günlükleri (syslog_transaction), /api/now/sp/search isteklerinin POST gövdesini kaydetmez. Savunmacılar, otomatik aramaların yapıldığını ve ne kadar verinin döndürüldüğünü (çıktı uzunluğu sütunu aracılığıyla) görebilir, ancak kesin arama terimlerini veya hangi belirli kayıtların alındığını belirleyemez.

Salesforce için: Misafir numaralandırma trafiği, normal site trafiği gibi görünen meşru, protokole uygun API çağrılarından oluşur. Olay İzleme, misafir kullanıcılardan gelen AuraRequest ve Sites olaylarının hacmini gösterebilirken, günlükler verilerin istendiğini ancak GraphQL veya Aura yanıtlarında döndürülenlerin belirli içeriğini göstermez.

Başka bir deyişle, saldırganın orada olduğunu ve ne kadar veri çektiğini görebilirsiniz, ancak tam olarak hangi kayıtları veya alanları çıkardıklarını yeniden yapılandıramazsınız.

Önerilen Düzeltme Adımları

Salesforce için (Reco önerileri):

1. Misafir paylaşım kurallarını sıkılaştırın — en yüksek etkiye sahip kontrol. Misafir Kullanıcı ile kayıtları sitenin gerçekten herkese hizmet etmesi için gerekenin ötesinde paylaşan herhangi bir paylaşım kuralını kaldırın.
2. Misafir profilinden nesne ve alan düzeyindeki izinleri kaldırın. Sitenin anonim ziyaretçiler için ihtiyaç duymadığı nesnelerdeki okuma erişimini kaldırın.
3. Misafir profilinden "Faaliyetlere Eriş" iznini kaldırın (Görevleri ve Etkinlikleri açığa çıkarır).
4. Misafir kullanıcıda "API Etkin" seçeneğini devre dışı bırakın.
5. Site gerçekten gerektirmediği sürece kendi kendine kaydı devre dışı bırakın.
6. Misafir dosya erişimini ve üye görünürlüğünü devre dışı bırakın, böylece misafirler ContentDocument dosyalarını alamaz veya diğer site üyelerini numaralandıramaz.
7. Yalnızca LWR siteleri için: Experience Builder → Çalışma Alanları → Yönetim → Tercihler bölümünde, "Misafir kullanıcıların genel API'lere erişmesine izin ver" seçeneğinin işaretini kaldırın. Bu, GraphQL ve UI-API REST uç noktalarını tek seferde kapatır.

ServiceNow için (Reco önerileri):

1. Misafir odaklı portalları arama kaynaklarına eşleyin. sp_portal, m2m_sp_portal_search_source ve sp_search_source tablolarını kontrol edin. Genel bir portalın ihtiyaç duymadığı herhangi bir arama kaynağını ayırın.
2. Her arama kaynağının mantığını gözden geçirin — özellikle is_scripted_source, data_fetch_script ve ACL uygulayan GlideRecordSecure ile uygulamayan düz GlideRecord kullanıp kullanmadığı.
3. Bilgi tabanı (Knowledge Base) "Okuyabilir" kullanıcı kriterlerini gözden geçirin — misafir araması yoluyla hassas KB'leri açığa çıkaran kısıtlanmamış "Herhangi Bir Kullanıcı" erişimine bakın.
4. Paylaşım kurallarını körü körüne düzenlemek yerine hatalı kb_uc_can_read_mtom bağlantılarını ayırın.

Tespit Rehberi:

• Salesforce Olay İzleme:

  USER_TYPE = 'Guest'

  olan yüksek hacimli getItems ve getConfigData işlemlerine, /webruntime/.../vNN.0/graphql sürüm taramalarına ve /SiteRegister ile /CommunitiesSelfReg üzerindeki isteklere bakın.
• ServiceNow syslog_transaction: Misafir olarak yapılan /api/now/sp/search isteklerine bakın. Çıktı uzunluğuna göre sıralayın — küçük boş sonuç taban çizgisinden önemli ölçüde daha fazla döndüren satırlar, içerik döndüren aramaları gösterir.