City-Forum: سرقت داده از Salesforce و ServiceNow
خلاصهٔ کاملتر
محققهای شرکت Reco میگن یه کمپین تازه به اسم City-Forum پیدا کردن که با یه ابزار اختصاصی، هم Salesforce رو میزنه هم ServiceNow. به گفتهٔ اونها یه باینری نوشتهشده با Go از یه ماشین، هم نسخهٔ قدیمیتر Aura و هم پیادهسازی جدیدتر LWR سیلزفورس رو هدف گرفته — و این اولین سوءاستفادهٔ دیدهشده در دنیای واقعی از سطح UI-API مخصوص کاربر مهمانِ Salesforce ـه.
کلید ورود تو هر دو پلتفرم، Guest User ـه — یعنی همون پروفایل مهمونی که هر سایت Experience Cloud برای بازدیدکنندهٔ ناشناس داره. طبق گزارش Reco این پروفایل رو نمیشه حذف کرد و اجباریکردن لاگین هم پاکش نمیکنه: دسترسیها، قواعد اشتراکگذاری و کدی که تو اون بستر اجرا میشه سرِ جاشون میمونن. نتیجهش سادهست — هر رکوردی که مهمون بتونه بخونه، عملاً هر کسی رو اینترنت هم میتونه بخونه.
هدفهای اصلی به گفتهٔ محققها اپراتورهای مخابراتی، بانکها و شرکتهای خدمات مالی، فروشندههای نرمافزار سازمانی و پورتالهای بخش عمومی بودن. شلوغترین قربانی تو بازهٔ کمپین بیش از ۵۶۰ هزار رویداد ثبت کرده که تقریباً همهش شمارش داده از مسیر Aura بوده؛ از سایتهای LWR هم داده با GraphQL بیرون کشیده شده. رو ServiceNow یه endpoint جستجوی Service Portal هدف گرفته شده که تقریباً هیچ مستندات آنلاینی نداره.
جالب اینجاست که همهچی از یه IP ثابت (158.220.87.79، متصل به دامنهٔ city-forum.com) انجام شده و به گفتهٔ Reco دستکم ۱۷ ماهه بدون هیچ چرخشی داره اسکن میکنه. خروج داده هم پرحجمه ولی از نظر پروتکل کاملاً عادی به نظر میرسه، برای همین سخت لو میره. Reco تأکید میکنه نه Salesforce نه ServiceNow نفوذ نشدن و هرچی مهاجم برداشته، چیزی بوده که خود صاحب سایت جلوی کاربر ناشناس باز گذاشته بوده.
توصیهٔ فوری گزارش اینه که هرچه زودتر self-registration رو غیرفعال کنید؛ چون تنها مسیریه که یه مهمون ناشناس تو سیلزفورس میتونه خودشو به کاربر احراز هویتشده ارتقا بده (تو ServiceNow چنین مسیری وجود نداره). بعدش هم باید دسترسیهای پروفایل مهمون و قواعد sharing رو یکییکی مرور کنید. محققها میگن تا الان فقط فعالیت مهمون دیدن، ولی حالت احراز هویتشده رو رد نمیکنن.
نکات کلیدی:
- کمپین City-Forum با یه باینری Go و از یه ماشین، هم Aura و هم LWR سیلزفورس و هم ServiceNow رو هدف گرفته.
- اولین سوءاستفادهٔ دیدهشده در دنیای واقعی از سطح UI-API کاربر مهمانِ Salesforce همینه.
- شلوغترین قربانی بیش از ۵۶۰ هزار رویداد شمارش داده از مسیر Aura ثبت کرده.
- کل ترافیک از IP ثابت 158.220.87.79 (دامنهٔ city-forum.com) میاد و ۱۷ ماهه عوض نشده.
- اولین اقدام دفاعی: غیرفعالکردن self-registration و بازبینی دسترسیهای Guest User.
