Ver el código de «Campaña City-Forum: Robo de Datos de Salesforce y ServiceNow con Herramientas Personalizadas (2025-2026)»

== Nombres Alternativos / Aliases ==

* City-Forum Campaign (Nombre de la campaña, por el dominio asociado)
* Salesforce/ServiceNow Guest User Attack (Por el vector explotado)
* Go-http-client Data Harvesting (Por el user-agent utilizado)
* LWR UI-API Exploitation (Por la técnica en Salesforce LWR)
* ServiceNow Search Endpoint Abuse (Por el vector en ServiceNow)

----

== Fecha de Detección / Actividad ==

* Primera evidencia de infraestructura: Marzo de 2025 (dominio <code>city-forum.com</code> resuelve a la IP)
* Campaña activa desde: Al menos marzo de 2025
* Fecha del informe de Reco: 12 de agosto de 2026
* Duración de la campaña: Más de 17 meses (en el mismo servidor)
* Sectores objetivo: Telecomunicaciones, banca y servicios financieros, software empresarial (incluyendo seguridad y privacidad de datos), portales del sector público
* Estado: Activa (el volumen de actividad está aumentando)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Desconocido (no atribuido)
|-
|Vínculo Gubernamental
|No establecido
|-
|Tipo de Actor
|Ciberdelincuencia / Robo de datos
|-
|Sofisticación
|MUY ALTA. El actor demuestra:
|}

* Desarrollo de herramientas personalizadas en Go para múltiples plataformas (Salesforce y ServiceNow)
* Investigación y mapeo de vectores de filtración de datos no documentados
* Conocimiento profundo de las APIs de Salesforce (Aura, LWR UI-API) y ServiceNow (endpoint de búsqueda no documentado)
* Persistencia con una única infraestructura estática durante más de 17 meses
* Capacidad para extraer datos de manera sigilosa y a gran escala |  | Motivación | Financiera (extorsión / venta de datos) |  | Relación con ShinyHunters | No determinada. Reco no atribuye la campaña a ShinyHunters, señalando que el uso de herramientas personalizadas y la infraestructura estática difieren de las tácticas de ShinyHunters

----

== Resumen Ejecutivo ==
La campaña City-Forum, identificada por la firma de seguridad Reco, consiste en un robo de datos a gran escala y de larga duración dirigido a Salesforce Experience Cloud y ServiceNow en organizaciones de todo el mundo . El atacante utiliza herramientas personalizadas para explotar permisos de usuario invitado (guest user) mal configurados, no vulnerabilidades de las plataformas, para extraer datos a los que los administradores han otorgado acceso sin darse cuenta .

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Vector principal
|Usuarios invitados con permisos excesivos en Salesforce y ServiceNow
|-
|Infraestructura
|Un único servidor VPS (Contabo, IP <code>158.220.87.79</code>) y dominio <code>city-forum.com</code> (activo desde marzo de 2025)
|-
|User-agent
|<code>Go-http-client/1.1</code> (todas las solicitudes)
|-
|Objetivo principal (Salesforce)
|Más de 560,000 eventos de enumeración Aura en un solo objetivo
|-
|Técnica LWR (Salesforce)
|Consultas GraphQL al endpoint <code>/webruntime/api/services/data/{version}/graphql</code>
|-
|Técnica ServiceNow
|Solicitudes POST anónimas al endpoint <code>/api/now/sp/search?sysparm_cancelable=true</code>
|-
|Prueba de auto-registro
|El atacante prueba <code>SiteRegister</code> y <code>CommunitiesSelfReg</code> para escalar privilegios
|-
|Estado
|Activa (continúa a volumen creciente)
|}

=== El núcleo del problema: Usuarios Invitados (Guest Users) ===
Tanto Salesforce como ServiceNow utilizan un usuario invitado para gestionar visitantes no autenticados a portales públicos :

* Salesforce Experience Cloud: Cada sitio tiene su propio Guest User. Si está mal configurado con permisos excesivos, un atacante puede consultar objetos de Salesforce (Account, Contact, Case, etc.) sin iniciar sesión.
* ServiceNow: Tiene un usuario <code>guest</code> similar. Los portales de servicio pueden exponer datos a través de fuentes de búsqueda (<code>sp_search_source</code>) si el acceso de invitados no está restringido.

<blockquote>''"If the guest can read a record, so can anyone on the internet. That is not a platform vulnerability."''

— Nitay Bachrach, Investigador de Reco</blockquote>
----

== Vector de Ataque / Métodos de Distribución ==

=== Componentes de la infraestructura ===
{| class="wikitable"
!Componente
!Detalle
|-
|IP de origen
|<code>158.220.87.79</code> (Contabo GmbH - VPS en Alemania)
|}

* ☑  Dominio | <code>city-forum.com</code> (resuelve a la IP desde marzo de 2025)
* ☑  User-agent | <code>Go-http-client/1.1</code> (por defecto en Go)

=== Vectores de ataque específicos ===

==== 1. Salesforce Aura (técnica principal) ====
El atacante utiliza el endpoint <code>/aura</code> (o <code>/s/sfsites/aura</code>) para:

* Enumerar objetos mediante <code>HostConfigController.getConfigData</code>, que devuelve una lista de objetos accesibles (Account, Contact, Case, etc.).
* Extraer registros mediante <code>SelectableListDataProviderController.getItems</code>, que permite paginar a través de los registros de cada objeto.

<blockquote>''"The busiest target logged over 560,000 events from this IP across the campaign window, essentially all of it guest Aura enumeration."''

— Reco</blockquote>

==== 2. Salesforce LWR (Lightning Web Runtime) ====
El atacante utiliza el UI-API de LWR, un vector no documentado en herramientas públicas, para realizar consultas GraphQL al endpoint <code>/webruntime/api/services/data/{version}/graphql</code> :

* Enumera el esquema mediante <code>EntityDefinition</code> para obtener todos los objetos consultables.
* Extrae registros paginando con cursores.
* Barre versiones de API desde v56.0 hasta v66.0

==== 3. Prueba de auto-registro (Salesforce) ====
El atacante prueba sistemáticamente los endpoints <code>/SiteRegister</code> y <code>/CommunitiesSelfReg</code> para determinar si el auto-registro está habilitado. Si es así, un visitante anónimo podría crear una cuenta autenticada, obteniendo acceso a datos adicionales .

==== 4. ServiceNow Portal Search ====
El atacante utiliza el endpoint de búsqueda nativo de ServiceNow, <code>/api/now/sp/search?sysparm_cancelable=true</code> :

* Es un endpoint sin autenticación que procesa consultas de búsqueda del portal.
* El atacante envía solicitudes POST con diferentes términos de búsqueda para enumerar el contenido de las bases de conocimiento y catálogos expuestos.
* El cuerpo de la solicitud JSON incluye los parámetros <code>query</code>, <code>portal</code>, <code>source</code> (ej. <code>kb</code> para base de conocimiento, <code>sc</code> para catálogo) y <code>count</code>.

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Explotación de permisos de usuario invitado mal configurados en portales públicos
|-
|Reconnaissance (TA0043)
|Active Scanning (T1595)
|Enumeración de objetos y registros en Salesforce (Aura y LWR)
|-
|Reconnaissance (TA0043)
|Search Open Websites/Domains (T1593)
|Sondeo de portales de ServiceNow y endpoints de auto-registro de Salesforce
|-
|Collection (TA0009)
|Data from Information Repositories (T1213)
|Extracción de datos de Salesforce (Accounts, Contacts, Cases) y ServiceNow (KB articles, catálogos)
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Envío de datos robados a la infraestructura del atacante (no especificado)
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance
|MUY ALTO
|Organizaciones en sectores críticos a nivel mundial (telecom, finanzas, gobierno)
|-
|Duración
|MUY ALTA
|Más de 17 meses de actividad continuada
|-
|Detección
|BAJA
|Tráfico HTTP legítimo, sin exploits, user-agent no malicioso (Go-http-client/1.1)
|-
|Tipo de datos
|MUY SENSIBLE
|Nombres, números de teléfono, direcciones de correo, números de Seguro Social, datos médicos, datos financieros, números de tarjetas de crédito, datos de pasaportes
|-
|Riesgo de extorsión
|MUY ALTO
|La filtración de datos sensibles puede ser utilizada para extorsión y otros ataques posteriores (phishing, ingeniería social, fraude)
|}

=== Consecuencias para las organizaciones afectadas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Filtración de datos de clientes
|Crítica
|Exposición de PII (nombre, correo, teléfono, SSN), datos financieros y médicos
|-
|Daño reputacional
|Alta
|Pérdida de confianza de clientes y socios
|-
|Multas regulatorias
|Alta
|Posibles sanciones por incumplimiento de GDPR, CCPA, etc.
|-
|Riesgo de extorsión
|Alta
|El atacante podría exigir un rescate para no publicar los datos robados
|-
|Riesgo de phishing
|Alta
|Los datos robados pueden ser utilizados para ataques de phishing dirigidos (spear-phishing) y vishing a empleados y clientes
|}
----

== Recomendaciones de Mitigación ==

=== Para Salesforce Experience Cloud ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Auditar permisos de usuario invitado
|CRÍTICA
|Revisar y restringir los permisos de objeto, campo y registro del perfil de usuario invitado al mínimo absoluto necesario para el funcionamiento del sitio
|}

* ☑  Deshabilitar "Allow guest users to access public APIs" | CRÍTICA | Configuración en Experience Builder > Workspaces > Administration > Preferences. Cierra el acceso a la UI-API (GraphQL) para invitados
* ☑  Eliminar permisos de "API Enabled" | ALTA | Desmarcar "API Enabled" en los permisos del sistema del perfil de usuario invitado
* ☑  Deshabilitar auto-registro | ALTA | Si no se requiere, deshabilitar la auto-registración para evitar que los invitados creen cuentas y amplíen el acceso
* ☑  Revisar reglas de compartición (sharing rules) | ALTA | Asegurar que las reglas de compartición para el usuario invitado no concedan acceso a datos no públicos
* ☑  Monitorear Event Monitoring | ALTA | Buscar eventos de <code>AuraRequest</code> y <code>Sites</code> con user-agent <code>Go-http-client/1.1</code> o IP <code>158.220.87.79</code>, y patrones de actividad anómala (ej. altas tasas de <code>getItems</code> en Aura)

=== Para ServiceNow ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Revisar fuentes de búsqueda de portales públicos
|CRÍTICA
|Identificar qué fuentes de búsqueda (<code>sp_search_source</code>) están expuestas a través de portales públicos (<code>m2m_sp_portal_search_source</code>) y eliminar aquellas que no sean estrictamente necesarias
|}

* ☑  Auditar fuentes de búsqueda basadas en script | CRÍTICA | Revisar el script <code>data_fetch_script</code> de cada fuente de búsqueda. Asegurar que incluyan <code>gs.isLoggedIn()</code> antes de consultar datos y que utilicen <code>GlideRecordSecure</code> (que respeta ACLs) en lugar de <code>GlideRecord</code>
* ☑  Revisar criterios de "Can Read" para Knowledge Bases | CRÍTICA | Auditar <code>kb_uc_can_read_mtom</code> y <code>user_criteria</code>. Eliminar los criterios "Any User" que conceden acceso de lectura a invitados a bases de conocimiento sensibles
* ☑  Revisar logs de transacciones | ALTA | Buscar en <code>syslog_transaction</code> actividad de la IP <code>158.220.87.79</code> o del endpoint <code>/api/now/sp/search</code>, especialmente con usuario <code>guest</code> y volúmenes anómalos de solicitudes

----

== Herramientas de Detección ==

=== Para Salesforce ===
Salesforce Event Monitoring (requiere Shield o add-on):

* Consultar logs de <code>AuraRequest</code> y <code>Sites</code>.
* Buscar el user-agent <code>Go-http-client/1.1</code> y la IP <code>158.220.87.79</code>.
* Buscar altos volúmenes de <code>SelectableListDataProviderController/ACTION$getItems</code> en <code>ACTION_MESSAGE</code>.

=== Para ServiceNow ===
Log de transacciones <code>syslog_transaction</code> :

* Filtrar por IP Address <code>158.220.87.79</code>.
* Filtrar por URL que comience con <code>/api/now/sp/search</code>.
* Observar el campo <code>Created by</code> (buscar <code>guest</code>) y la columna <code>Output length</code> (valores grandes indican datos devueltos)

----

== Antecedentes: La Campaña de ShinyHunters (Marzo 2026) ==
ShinyHunters llevó a cabo una campaña similar contra Salesforce Experience Cloud entre mediados de 2025 y marzo de 2026, utilizando una versión modificada de la herramienta <code>AuraInspector</code> para explotar permisos de usuario invitado mal configurados . Salesforce confirmó que se trataba de una mala configuración del cliente, no de una vulnerabilidad de la plataforma.

Diferencias clave con City-Forum:
{| class="wikitable"
!Aspecto
!ShinyHunters
!City-Forum
|-
|Herramienta
|AuraInspector (modificado)
|Herramienta personalizada en Go
|-
|Alcance
|Solo Salesforce Aura
|Salesforce Aura + LWR + ServiceNow
|-
|Infraestructura
|Múltiples IPs
|IP estática durante >17 meses
|-
|User-agent
|Variable
|<code>Go-http-client/1.1</code>
|}
----

== Opiniones de Expertos ==
<blockquote>''"The threat actor created their own toolset, based on research and techniques which are not well documented online. They studied the services to map different common data leak vectors – this is an advanced actor."''

— Nitay Bachrach, Investigador de Reco</blockquote><blockquote>''"If the guest can read a record, so can anyone on the internet. That is not a platform vulnerability."''

— Nitay Bachrach, Investigador de Reco</blockquote><blockquote>''"The core issue is that 'what is public' and 'what should be public' are two different things, and that's exactly what the attacker exploited."''

— Nitay Bachrach, Investigador de Reco</blockquote>
----

== Referencias y Fuentes ==

# Reco AI. (2026, 12 de agosto). ''The "City-Forum" Campaign - An advanced attacker is targeting Salesforce and ServiceNow instances worldwide''.
# BleepingComputer. (2026, 12 de agosto). ''"City-Forum" data-theft attacks target Salesforce, ServiceNow portals''.
# The Register. (2026, 13 de agosto). ''Mystery attacker spent a year raiding Salesforce and ServiceNow portals''.
# Help Net Security. (2026, 12 de agosto). ''A stranger has been reading Salesforce and ServiceNow portals worldwide for 17 months''.
# Dark Reading. (2026, 13 de agosto). ''Long-running Data Theft Campaign Targeting Salesforce, ServiceNow''.
# Techzine. (2026, 12 de agosto). ''City-Forum extracts data from Salesforce and ServiceNow''.
# CyberSecurity Help. (2026, 12 de agosto). ''City-Forum campaign targets exposed Salesforce and ServiceNow data''.
# SC Media. (2026, 10 de marzo). ''Salesforce confirms ShinyHunters exploited Experience Cloud sites''.
# TechRepublic. (2026, 12 de agosto). ''City-Forum attacks target Salesforce and ServiceNow''.
# HEAL Security. (2026, 12 de agosto). ''New "City-Forum" Hackers Attacking Salesforce and ServiceNow Instances Worldwide''.
# DIVD. (2026, 24 de abril). ''DIVD-2026-00005 - Salesforce Experience Cloud – Data Exposure via Misconfiguration''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-08-13
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en el informe de Reco y fuentes asociadas
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Infraestructura ===
{| class="wikitable"
!Tipo
!Indicador
|-
|IP
|<code>158.220.87.79</code> (Contabo GmbH - ASN 51167)
|}

* Dominios | <code>city-forum.com</code> |  | | <code>www.city-forum.com</code> |  | | <code>server.city-forum.com</code> |  | | <code>mail.city-forum.com</code> |  | | <code>www.server.city-forum.com</code> |  | | <code>www.mail.city-forum.com</code> |  | User-agent | <code>Go-http-client/1.1</code>

=== Comportamiento a monitorear ===
{| class="wikitable"
!Plataforma
!Endpoint/Comportamiento
!Detalle
|-
|Salesforce Aura
|<code>/aura</code>, <code>/s/sfsites/aura</code>
|Altos volúmenes de <code>getConfigData</code> y <code>getItems</code> desde IP/User-Agent sospechoso
|}

* Salesforce LWR | <code>/webruntime/api/services/data/v{56..66}/graphql</code> | Solicitudes GraphQL desde invitados a versiones de API consecutivas |  | Salesforce (auto-registro) | <code>/SiteRegister</code>, <code>/CommunitiesSelfReg</code> | Sondeo de estos endpoints en sitios de Experience Cloud |  | ServiceNow | <code>POST /api/now/sp/search?sysparm_cancelable=true</code> | Solicitudes POST anónimas al endpoint de búsqueda del portal |

----

== Etiquetas / Categorías ==
 city-forum-data-theft salesforce-servicenow-breach guest-user-exploitation salesforce-experience-cloud-lwr-ui-api servicenow-sp-search-endpoint go-http-client-data-harvesting shinyhunters-alternative-actor