Mehr als 560.000 Ereignisse von einer einzigen IP-Adresse auf einem einzelnen Salesforce-Portal – das ist die Zahl, die Sicherheitsforscher von Reco in dieser Woche vorgelegt haben. Sie steht exemplarisch für eine Kampagne, die seit über einem Jahr Daten aus Kundenportalen von Salesforce und ServiceNow abzieht. Es handelt sich nicht um einen einzelnen Fehler in einer Software, sondern um ein systematisches Ausnutzen einer grundlegenden Designentscheidung beider Plattformen.
Wer sich schon einmal gefragt hat, warum öffentliche Portale so schwer abzusichern sind, bekommt hier eine ernüchternde Antwort: Die Systeme sind so gebaut, dass sie nicht eingeloggten Besuchern einen festen Gastnutzer zuweisen. Dieser Gastnutzer lässt sich nicht löschen, sondern nur einschränken. Und genau hier setzt die Angriffskampagne an, die Reco den Namen „City Forum“ gegeben hat – benannt nach einer Domain, die mit der Angreifer-IP verbunden ist.
Eine Infrastruktur, zwei Plattformen, ein Muster
Die gesamte Kampagne läuft über einen einzigen Server mit der IP-Adresse 158.220.87.79, gehostet bei Contabo, einem deutschen Provider. Das Besondere daran: Der Server ist seit März 2025 nachweislich aktiv und hat seine Position nicht verändert. Jede Anfrage von ihm trägt die gleiche Signatur: den Standard-User-Agent der Go-Programmbibliothek net/http. Das verrät den Forschern, dass hier kein Browser am Werk ist, sondern ein kompiliertes, zweckgebautes Programm.
Die Ziele der Kampagne sind breit gestreut. Reco nennt Telekommunikationsunternehmen, Banken und Finanzdienstleister, Softwarehersteller sowie Portale des öffentlichen Sektors. Namen einzelner Organisationen werden nicht veröffentlicht, aber das Muster ist überall dasselbe. Der Angreifer nutzt bekannte Schwachstellen im Gastzugang von Salesforce Experience Cloud und ServiceNow Service Portalen, um systematisch Daten zu extrahieren.
Was diese Kampagne von früheren Angriffen unterscheidet, ist die Bandbreite der verwendeten Techniken. Bisherige Angreifer, darunter auch die berüchtigte Gruppe ShinyHunters, konzentrierten sich meist auf das ältere Aura-Framework von Salesforce. Sie sendeten massenhaft Gastanfragen, um Objekte aufzulisten und Datensätze Seite für Seite durchzugehen. Der City Forum Angreifer macht das ebenfalls – Aura macht den Großteil des beobachteten Traffics aus. Aber er geht weiter.
Der Griff nach den modernen Schnittstellen
Der Angreifer nutzt zusätzlich die Lightning Web Runtime von Salesforce über die UI-API, eine Datenschicht, für die es bisher keinerlei öffentliche Dokumentation oder bekannte Scan-Tools gab. Er arbeitet sich systematisch durch die API-Versionen v56.0 bis v66.0. Auch das ServiceNow Service Portal wird angegriffen, und zwar über den Endpunkt POST /api/now/sp/search, zu dem es kaum öffentliche Unterlagen gibt.
Diese Kombination macht die Kampagne besonders. Es ist, als würde jemand nicht nur die Haustür testen, sondern auch den Hintereingang und den Lieferantenzugang – und dabei feststellen, dass alle Türen mit demselben schwachen Schloss gesichert sind. Die gemeinsame Schwachstelle liegt nicht in den Endpunkten selbst, sondern in der Berechtigungskonfiguration des Gastnutzers.
Auf beiden Plattformen gibt es einen persistenten Gastbenutzer, unter dem nicht angemeldete Besucher agieren. Wenn dieser Gastbenutzer Lesezugriff auf einen Datensatz hat, ist dieser Datensatz faktisch öffentlich – unabhängig davon, ob die Website eine Anmeldung verlangt, um ihn im Browser anzuzeigen. Das ist eine grundlegende Eigenschaft dieser Systeme, keine Schwachstelle im herkömmlichen Sinne. Die Endpunkte funktionieren genau so, wie sie sollen. Das Problem ist die Berechtigung, die ihnen erteilt wurde.
Erkennung: Was Sicherheitsteams jetzt tun können
Die Forscher von Reco liefern konkrete Ansatzpunkte, um die Kampagne zu erkennen. Auf Salesforce-Seite können Teams mit Event Monitoring oder Shield die Log-Ereignisse AuraRequest und Sites durchsuchen. Auffällig sind der Go-http-client User-Agent, die bekannte IP-Adresse und Anfragen an Pfade, die /webruntime/api/services/data enthalten. Auch ein plötzlicher Anstieg von Selbstregistrierungsversuchen über /SiteRegister oder /CommunitiesSelfReg deutet auf eine laufende Datensuche hin.
Der Gedanke dahinter ist einfach: Wer versucht, unzählige Datensätze durchzugehen, muss sich oft zuerst Zugang verschaffen. Wenn sich also hunderte neue Gastkonten innerhalb kurzer Zeit anmelden, stimmt etwas nicht. Diese Logik gilt übrigens nicht nur für Salesforce, sondern für jede Plattform mit Gastzugängen.
Auf ServiceNow liegt der Fokus auf der Transaktionstabelle syslog_transaction. Hier könnt ihr nach der Quell-IP filtern und nach URLs suchen, die mit /api/now/sp/search beginnen. Das deutlichste Signal für eine aktive Kampagne sind Einträge, die als Gast angelegt wurden und eine ungewöhnlich große Antwortlänge aufweisen. Ein anonymer Besucher, der plötzlich riesige Datenmengen abruft – das ist wie ein Bibliotheksbesucher ohne Ausweis, der mit einem Handwagen wieder hinausgeht.
Gegenmaßnahmen: Weniger Rechte statt mehr Firewalls
Die eigentliche Absicherung beginnt nicht bei den Endpunkten, sondern beim Gastprofil. Auf Salesforce bedeutet das: Gastfreigaberegeln überprüfen, unnötige Objekt- und Feldzugriffe aus dem Gastprofil entfernen, Selbstregistrierung abschalten, wo sie nicht benötigt wird, und die Experience Builder Einstellung deaktivieren, die Gastnutzern den Zugriff auf öffentliche APIs erlaubt.
Auf ServiceNow geht es darum, zu kartieren, welche Suchquellen über öffentliche Portale erreichbar sind. Außerdem solltet ihr die Lesekriterien der Wissensdatenbank prüfen, die darüber entscheiden, was eine anonyme Suche tatsächlich zurückgibt. Oft reicht es, den Gastzugang auf das absolute Minimum zu beschränken – genau wie man einem Hausgast nicht den Schlüssel zum Keller gibt, nur weil er im Wohnzimmer übernachtet.
Der Angriff ist kein Einzelfall und kein Versehen. Reco berichtet, dass die Infrastruktur weiterhin aktiv ist und das Datenvolumen steigt. Eine Zuordnung zu einer bekannten Hackergruppe gibt es noch nicht. Das ist ein Zeichen dafür, wie einfach diese Art von Angriff umzusetzen ist. Man braucht kein Zero-Day-Exploit und keine ausgeklügelte Malware. Man braucht nur einen Server, ein Skript und die Erkenntnis, dass viele Unternehmen ihre Gastportale jahrelang überprivilegiert betreiben.
Was die Kampagne für die Cloud-Sicherheit bedeutet
Die City Forum Kampagne ist ein Weckruf für alle, die SaaS-Plattformen wie Salesforce oder ServiceNow betreiben. Die Sicherheitslücke liegt nicht im Code der Plattform, sondern in der Konfiguration der Kunden. Das ist ein entscheidender Unterschied zu klassischen Schwachstellen. Ihr könnt nicht auf ein Patch warten, das das Problem löst. Ihr müsst selbst aktiv werden.
Die gute Nachricht: Die Erkennung ist machbar. Die schlechte Nachricht: Sie erfordert Einblick in Logdaten, die viele Teams nicht im Blick haben. Wer keine Event Monitoring Lizenz auf Salesforce hat oder die ServiceNow-Transaktionslogs nicht auswertet, wird diese Kampagne vermutlich nicht bemerken. Der Angreifer rechnet offenbar genau damit.
Für Sicherheitsverantwortliche bedeutet das, den Gastzugang regelmäßig zu überprüfen, bevor ein Vorfall eintritt. Die Frage ist nicht, ob jemand eure Portale abgreift, sondern ob ihr es rechtzeitig bemerkt. Und rechtzeitig heißt: bevor die Daten längst kopiert und gehandelt sind.
Quelle: thehackernews.com
