Red Team explora falhas no ServiceNow: de phishing a controle total

A recente simulação de Red Team da MDSec expôs uma cadeia de ataque alarmante, transformando um acesso inicial simples em controle total de tenants do ServiceNow. O processo começou com o básico: um ataque de phishing bem-sucedido contra um funcionário. A partir daí, a equipe explorou a negligência de configurações, como a exposição de arquivos MID config.xml contendo credenciais sensíveis e a atribuição de privilégios excessivos a papéis como catalog_admin e import_admin. Esses vetores permitiram a execução de scripts Glide com privilégios elevados, um passo crucial para a escalada.

Uma vez dentro, a tática se aprofundou. A equipe criou contas de administrador ocultas, manipulou logs para encobrir suas ações e configurou tarefas agendadas. Estas tarefas serviram como um sofisticado canal de comando e controle (C2) via SnowFall, permitindo a comunicação persistente e discreta. A partir do tenant comprometido, dados sensíveis, como registros de incidentes e credenciais, foram exfiltrados. A capacidade de contornar a autenticação adaptativa e executar comandos diretamente em servidores MID demonstrou a profundidade da exploração e o quão enraizada a presença do Red Team se tornou na infraestrutura da vítima.

A cobertura anterior do CEVIU News sobre vulnerabilidades no ServiceNow ganha um novo e preocupante contexto. Em julho de 2026, noticiamos uma Vulnerabilidade Crítica no ServiceNow Permite Execução Remota de Código Pré-Autenticação. Naquela ocasião, pesquisadores identificaram falhas que permitiam RCE através de filtros de consulta GlideRecord. Agora, o relatório da MDSec demonstra como vulnerabilidades desse tipo, que permitem a execução de scripts Glide de forma não autenticada, podem ser integradas a uma cadeia de ataque completa para assumir o controle total de um tenant. Isso mostra a evolução de uma vulnerabilidade teórica para uma peça-chave em um cenário de compromisso real.

Em agosto de 2026, também abordamos como Ataques avançados exploram falhas em Salesforce e ServiceNow, sublinhando que essas plataformas se tornaram alvos frequentes. Este novo relatório não apenas confirma essa tendência, mas detalha as técnicas específicas que os atacantes empregam. O que antes eram avisos sobre falhas isoladas ou ataques genéricos, agora se materializa em uma metodologia prática e replicável, fornecendo um blueprint de como atores maliciosos operam e por que as empresas devem estar constantemente vigilantes.

Esta simulação de Red Team é um alerta severo para qualquer organização que utilize o ServiceNow como sua espinha dorsal de operações de TI. O ServiceNow, por sua natureza central na gestão de serviços e infraestrutura, se torna um ponto único de falha com consequências devastadoras se comprometido. O sucesso do Red Team em escalar privilégios e exfiltrar dados sensíveis, tudo a partir de um acesso inicial via phishing, demonstra que a segurança de plataformas críticas como esta não pode depender apenas de sua robustez inerente. Requer monitoramento contínuo, gestão de configurações e atenção rigorosa à atribuição de privilégios.

Para os times de segurança, a lição é clara: o ServiceNow não é apenas uma ferramenta, é um vetor de ataque potencial. A capacidade de criar contas de administrador ocultas e estabelecer C2 persistente via tarefas agendadas (SnowFall) indica que os métodos de detecção precisam ir além da análise de logs superficiais. Organizações precisam de uma visibilidade profunda e de capacidades de detecção avançadas para identificar anomalias e atividades maliciosas dentro de seu ambiente ServiceNow, antes que um simples phishing se transforme em um comprometimento de toda a infraestrutura.