Nach Reco setzt „City-Forum“ auf ein eigenes Toolset, um exponierte Datenpfade in Salesforce und ServiceNow zu finden und auszunutzen. Sicherheitsforscher Nitay Bachrach von Reco schreibt, der Akteur habe Techniken verwendet, die online kaum dokumentiert seien. Er habe die Dienste untersucht, verschiedene häufige Wege für Datenabflüsse kartiert und dafür eigene Werkzeuge gebaut. Bachrach wertet das als Hinweis auf einen fortgeschrittenen Akteur.
Bei Salesforce richtet sich die Kampagne laut Reco auch gegen neuere Websites, die auf Lightning Web Runtime (LWR) statt auf dem älteren Aura-Framework basieren. Der Angreifer scheint herausgefunden zu haben, wie sich die zugrunde liegende Datenschicht der Laufzeitumgebung direkt ansprechen lässt, um Datensätze über exponierte, für Gäste erreichbare Oberflächen abzurufen. Das unterscheidet die Kampagne von anderen Angriffen, die öffentlich verfügbare Werkzeuge genutzt haben, um über zu weit berechtigte Salesforce-Gastnutzer per Aura zugängliche Daten zu scannen.
Für ServiceNow beobachtete Reco denselben maßgeschneiderten Werkzeugsatz gegen einen vergleichsweise unbekannten Suchendpunkt des ServiceNow Service Portal, „für den es fast keine Online-Dokumentation oder weithin bekannte Open-Source-Werkzeuge gibt“, so Bachrach in einem Blogeintrag. Die Angriffe deuteten darauf hin, dass der Akteur auf beiden Plattformen mehrere bislang wenig untersuchte potenzielle Pfade für Datenlecks identifiziert habe.
Welche Daten potenziell betroffen sind, hängt vom jeweiligen System ab. Über Salesforce-Gastzugriffe könnte der Angreifer laut Bachrach Kontodaten, Kontaktinformationen, Leads, Benutzer und Dateien aus Inhaltsdokumenten entwenden. Gegenüber Dark Reading sagte Bachrach zudem, typisch über solche Gastzugriffe abgegriffene Salesforce-Daten seien Kundeninformationen wie Sozialversicherungsnummern, medizinische Daten, Finanzdaten, Kreditkartennummern und Passinformationen. Ebenfalls häufig seien Support-Tickets mitsamt Inhalten sowie Kalender- und E-Mail-Daten, einschließlich interner E-Mails und Besprechungen.
Bei ServiceNow stehen laut Reco vor allem Wissensdatenbanken und Kataloge im Risiko. Bachrach sagte, in ServiceNow handle es sich „meistens um Artikel aus Wissensdatenbanken“. Weil ServiceNow stark konfigurierbar sei, könne je nach konkreter Einrichtung praktisch alles exponiert werden. In der Vergangenheit hätten unabhängige Forscher bereits mit anderen Techniken sensible Daten in ServiceNow-Wissensdatenbanken gefunden.
Auf Grundlage ausgewerteter Kundenprotokolle hat der Akteur laut Bachrach Organisationen in Nordamerika, Europa und Asien ins Visier genommen. Die Salesforce-Kampagne erscheine deutlich größer als die gegen ServiceNow, mit mehr kompromittierten Zielen. Äußerlich erinnere „City-Forum“ an eine ähnliche Kampagne der Gruppe ShinyHunters gegen Salesforce-Umgebungen, sagte Bachrach. Die eingesetzten maßgeschneiderten Werkzeuge unterschieden sich jedoch von denen, die ShinyHunters verwendet habe.
Reco hat Indikatoren einer Kompromittierung zur Kampagne veröffentlicht sowie konkrete Hinweise, wie sich diese in Salesforce-Event-Monitoring-Protokollen und ServiceNow-Transaktionsprotokollen aufspüren lassen. Für Salesforce empfiehlt das Unternehmen, Freigaberegeln für Gastnutzer zu prüfen, unnötigen Zugriff anonymer Nutzer auf Datensätze zu entfernen, überflüssige Berechtigungen in Gastprofilen zu deaktivieren und Selbstregistrierung sowie Gastzugriff auf Dateien abzuschalten, wo sie nicht benötigt werden. Für ServiceNow rät Reco dazu, Suchquellen zu entfernen, die nicht öffentlich erreichbar sein müssen, und für jede Suchquelle, auch für benutzerdefinierte skriptgesteuerte Quellen, geeignete Authentifizierungs- und Zugriffskontrollen durchzusetzen.
Bachrach betont, dass erfolgreiche Angriffe hier auf konkreten Fehlkonfigurationen der beiden Dienste beruhten, nicht auf den Standardeinstellungen. „Das Auftauchen eines Indikators bedeutet nicht, dass sensible Daten gestohlen wurden“, sagte er. Unabhängig davon sei es entscheidend, die Umgebung zu prüfen und jede Salesforce-Site sowie jedes ServiceNow-Portal zu auditieren.