本稿は、国際会計事務所KPMGでディレクターを務めるデニス・ラボシエール氏が、「SANS DFIR Summit 2025」で語ったセッション「Investigating a Malicious Script in Microsoft Intune: A DFIR Case Study」の内容を基に構成している。

　ラボシエール氏が調査した事例では、攻撃者はMicrosoft Intune内に保存されていた、ファイアウォールルール更新用などの正規の「PowerShell」スクリプトを改ざんした。

　テスト環境での検証によれば、リモートコントロールソフトウェア「AnyDesk」などのツールをダウンロードして実行するようスクリプトを書き換えた場合でも、Microsoft Intune内のスクリプトID自体は変化しない。変更されるのは更新日時と、「Base64」形式でエンコードされたスクリプトの内容のみだ。

　実際のインシデントでは、攻撃者は正規のEDR（Endpoint Detection and Response）ツールをバックドアとしてデバイスに展開し、そこからマルウェアの作成などの行動をとったという。

デバイスに残される特有の痕跡

　Microsoft Intuneを通じて不正なスクリプトがデバイスに展開された場合、エンドポイントには調査に役立つフォレンジックアーティファクト（デジタルな痕跡）が記録される。

• ジャーナルログの記録
  • Microsoft Intuneがスクリプトを実行する際、デバイス上に「.ps1」「timeout」「error」「output」という4つのデバッグファイルが生成される。これらは実行後に1秒未満で削除されるためMFT（Master File Table：Windowsのファイルシステムにおいてメタデータを管理する領域）には残らないが、ジャーナルログからは作成と削除の痕跡を確認できる。
• ログファイルへの平文出力
  • 「ProgramData」フォルダ下に保存される「agentexecutor.log」などのログファイルには、実行されたスクリプトの標準出力結果（クリアテキスト）が記録される。
• スクリプト本体の記録
  • 「IntuneManagementExtension.log」ファイルには、改ざんされたスクリプト本体のソースコードやポリシーハッシュなどが記録されており、攻撃内容の特定に役立つ。
• レジストリの痕跡
  • レジストリキー内には、Microsoft IntuneのポリシーハッシュやスクリプトID、スクリプトを作成したユーザーのオブジェクトIDが記録される。

クラウド監査ログの盲点

　一方、Microsoft AzureやMicrosoft Intuneのログ分析では注意すべき制約が存在する。

　Microsoftの各種クラウドサービスデータにアクセスするためのAPIである「Microsoft Graph API」や、Microsoft Intuneの監査ログを参照すれば、どのエンドユーザーがスクリプトを改ざんしたのかを特定可能だ。しかし、別のエンドユーザーが改ざんしたスクリプトがエンドポイントで実行された際、ログには改ざんしたエンドユーザーではなく、最初にそのスクリプトを作成したエンドユーザーのオブジェクトIDが記録されてしまう仕様となっている。

　このため、ログに記録された実行者のオブジェクトIDだけを見て、実際の攻撃者を単純に断定することはできない。

　クラウドサービスの普及によって、攻撃の経路は複雑化している。エンドポイントでのインシデント調査を実施する際は、デバイス内の情報だけに頼るのではなく、Microsoft AzureやMicrosoft Intuneを含む全ての利用可能なテレメトリー（指標）を横断的に分析することが不可欠だ。

本稿は、SANS Instituteが2025年8月15日に公開した動画「Investigating a Malicious Script in Microsoft Intune」を基に作成しました。