Ataques 'City-Forum' Miram Salesforce e ServiceNow com Ferramentas Personalizadas

A campanha 'City-Forum' é uma operação sofisticada que usa um binário Go para vasculhar dados em ambientes Salesforce Aura, Salesforce LWR e ServiceNow. O foco é a exploração de acessos de usuário convidado (Guest User) não autenticado, que, se mal configurados, expõem registros valiosos. A exploração do Salesforce LWR é a primeira observada em uso, visando a superfície UI-API de convidado.

Os atacantes buscam enumeração massiva. Em um caso, foram mais de 560 mil eventos de enumeração Aura de um único IP, confirmando a discrição do método. No ServiceNow, a campanha mira um endpoint de busca pouco documentado, capaz de revelar conteúdo significativo sem chamar atenção. Empresas de telecomunicações, bancos, serviços financeiros e portais do setor público são os principais alvos.

Esta campanha 'City-Forum' representa uma evolução notável no panorama das ameaças. Em contraste com a 'Campanha Salesforce Aura do ShinyHunters', divulgada pelo CEVIU News em março de 2026, que usava uma versão modificada do AuraInspector e focava apenas no Salesforce Aura, o City-Forum emprega um conjunto de ferramentas personalizadas e multi-plataforma, desenvolvido em Go. Ele ataca tanto o Aura quanto o Salesforce LWR, além de expandir o alvo para incluir o ServiceNow, explorando um endpoint de busca que não estava na mira de ataques anteriores.

A infraestrutura de ataque do City-Forum também demonstra persistência. O mesmo endereço IP 158.220.87.79, mencionado pelo CEVIU News em 13 de agosto de 2026 em uma matéria sobre ataques avançados, está ativo desde março de 2025 sem rotação. Isso indica uma operação com planejamento de longo prazo e um esforço para manter um baixo perfil, dificultando sua detecção por sistemas de anomalia.

A persistência e a furtividade desses ataques 'City-Forum' mostram que a segurança de plataformas SaaS (Software as a Service) depende crucialmente da configuração correta. A exploração de permissões de usuário convidado, muitas vezes negligenciada, pode levar à exfiltração de volumes massivos de dados sensíveis. A dificuldade de detecção, já que o tráfego é protocolarmente legítimo, exige vigilância constante e estratégias de segurança mais proativas por parte das empresas.