Im Zentrum der Kampagne steht der Gastbenutzer. Jede Salesforce-Experience-Cloud-Instanz verfügt laut Reco über einen eigenen Gastbenutzer, über den nicht authentifizierte Anfragen verarbeitet werden; bei ServiceNow sei die Lage ähnlich. Diese Gastkonten lassen sich dem Bericht zufolge nicht entfernen. Selbst wenn eine Anmeldung vorgeschrieben wird, bleiben Profil, Berechtigungen, Freigaberegeln und Code erhalten, der in diesem Kontext läuft. Wenn ein Gast einen Datensatz lesen darf, könne das grundsätzlich jeder im Internet.
Reco beschreibt das eingesetzte Werkzeugset als maßgeschneidert. In einem Blogbeitrag schreiben die Forscher, eine einzelne Go-Binärdatei habe Salesforce über Aura und LWR sowie ServiceNow „vom selben System aus“ angesprochen. Das spreche gegen Standardwerkzeuge wie AuraInspector und für ein eigens entwickeltes Mehrplattform-Tool. Bei Salesforce umfasst die Kampagne sowohl Aura als auch LWR; bei ServiceNow greift sie einen nativen Suchendpunkt des Service Portals an, der laut Reco kaum dokumentiert ist und für den es praktisch keine bekannten Open-Source-Werkzeuge gibt.
Zum Vergleich verweist Reco auf die im März 2026 offengelegte Salesforce-Aura-Kampagne von ShinyHunters. Diese habe ausschließlich Aura in Salesforce angegriffen und eine modifizierte Version von AuraInspector verwendet; ein Zielen auf ServiceNow sei dort nicht bekannt gewesen. City-Forum gehe darüber hinaus, weil die Kampagne LWR einbezieht und ServiceNow mit demselben Werkzeug adressiert. Reco schließt dennoch nicht aus, dass ShinyHunters dahinterstecken könnte, legt sich aber ausdrücklich nicht fest. „Wir wissen nicht, wer dahinter steckt, und wir schließen niemanden aus und niemanden ein“, so die Forscher.
Nach Beobachtung von Reco läuft die Kampagne über eine einzige Maschine. Dieselbe IP-Adresse habe seit März 2025 dieselbe Domain getragen und scanne noch immer; über mindestens siebzehn Monate sei keine Rotation erfolgt. Die Adresse 158.220.87.79 löst zu city-forum.com auf. Reco leitet daraus keine Zuschreibung ab. Die Forscher beschreiben die Datenausleitung als volumenstark, aber protokollkonform und damit nicht auffällig im klassischen Sinn. Gerade das erschwere die Erkennung.
In Salesforce stammt der Großteil der erfassten und exfiltrierten Daten laut Reco aus Aura. Das aktivste Ziel habe im Beobachtungszeitraum mehr als 560.000 Ereignisse protokolliert, „praktisch alles Gast-Aura-Aufzählung“. Zusätzlich würden Daten von Salesforce-LWR-Seiten über GraphQL abgefragt. Für ServiceNow nutzt der Angreifer den Suchendpunkt, um Treffer mit umfangreicherem Inhalt zu identifizieren. Laut Reco lohnt sich dabei ein Blick auf die Ausgabelänge: Zeilen, die deutlich über dem kleinen Leer-Ergebnis-Grundwert liegen, deuteten auf Treffer mit Inhalt hin, aus denen sich anschließend wahrscheinliche Ergebnisse abrufen lassen.
Eine Anmeldung als authentifizierter Benutzer ist für die Kampagne nach Angaben von Reco bisher nicht erforderlich gewesen. In Salesforce wäre ein solcher Übergang allerdings möglich, falls Selbstregistrierung aktiviert ist; für ServiceNow gebe es keinen vergleichbaren Mechanismus. Reco schreibt, bisher seien ausschließlich Aktivitäten von Gastbenutzern beobachtet worden, nie von authentifizierten Nutzern, ausschließen lasse sich das aber nicht. Der Forschungsbeitrag des Unternehmens enthält nach eigenen Angaben detaillierte Indikatoren für eine Kompromittierung sowie Hinweise zur Behebung.