「Microsoft Intune」の盲点 クラウドからデバイスを操る手口とは：デバイス調査だけでは見抜けない？

クラウドサービスの利用が広がる中、クラウドサービスとデバイスの境界を狙う脅威が登場している。「Microsoft Intune」を悪用してデバイスに侵入する巧妙な手口と、ログに残された痕跡から被害を解明する手法とは。

[TechTargetジャパン]

　企業のITインフラにおいてクラウドサービスの利用が一般化する中、クラウドサービスとエンドポイントの境界を狙うサイバー攻撃の脅威が強まっている。

　2023年に発生したインシデントでは、主に欧米企業を狙うサイバー攻撃グループ「Scattered Spider」が、標的企業の「Microsoft Azure」テナントにおける全体管理者権限を奪取した。Scattered Spiderはクラウドサービス内での権限を悪用し、MDM（モバイルデバイス管理）ツール「Microsoft Intune」のスクリプトを改ざんすることで、クラウドサービスからオンプレミスデバイスへと侵入範囲を拡大させたのだ。

　エンドポイントでの不審な挙動を調査する際、その起点となるのが必ずしもデバイス自体とは限らない。Microsoft Intuneのようなツールが、攻撃者にとってクラウドサービスからオンプレミスシステムに侵入するための「橋渡し」として機能するケースがあるためだ。

　こうしたクラウドサービス起点の巧妙な攻撃に対し、防御側はどのようなログや痕跡を確認し、被害の全容を解明すべきなのか。デバイス内に残された痕跡から攻撃を読み解く具体的なアプローチと、クラウド監査ログが抱える「盲点」について解説する。

スクリプト改ざんによるエンドポイントへの侵入

併せて読みたいお薦め記事

Microsoft製品のセキュリティ対策

• 「Windowsアップデート」が失敗する原因と、究極の対処法“5選”
• Microsoft 365が乗っ取られる　パスワードを盗まない「EvilTokens」の手口

　本稿は、国際会計事務所KPMGでディレクターを務めるデニス・ラボシエール氏が、「SANS DFIR Summit 2025」で語ったセッション「Investigating a Malicious Script in Microsoft Intune: A DFIR Case Study」の内容を基に構成している。

　ラボシエール氏が調査した事例では、攻撃者はMicrosoft Intune内に保存されていた、ファイアウォールルール更新用などの正規の「PowerShell」スクリプトを改ざんした。

　テスト環境での検証によれば、リモートコントロールソフトウェア「AnyDesk」などのツールをダウンロードして実行するようスクリプトを書き換えた場合でも、Microsoft Intune内のスクリプトID自体は変化しない。変更されるのは更新日時と、「Base64」形式でエンコードされたスクリプトの内容のみだ。

　実際のインシデントでは、攻撃者は正規のEDR（Endpoint Detection and Response）ツールをバックドアとしてデバイスに展開し、そこからマルウェアの作成などの行動をとったという。

デバイスに残される特有の痕跡

　Microsoft Intuneを通じて不正なスクリプトがデバイスに展開された場合、エンドポイントには調査に役立つフォレンジックアーティファクト（デジタルな痕跡）が記録される。

• ジャーナルログの記録
  • Microsoft Intuneがスクリプトを実行する際、デバイス上に「.ps1」「timeout」「error」「output」という4つのデバッグファイルが生成される。これらは実行後に1秒未満で削除されるためMFT（Master File Table：Windowsのファイルシステムにおいてメタデータを管理する領域）には残らないが、ジャーナルログからは作成と削除の痕跡を確認できる。
• ログファイルへの平文出力
  • 「ProgramData」フォルダ下に保存される「agentexecutor.log」などのログファイルには、実行されたスクリプトの標準出力結果（クリアテキスト）が記録される。
• スクリプト本体の記録
  • 「IntuneManagementExtension.log」ファイルには、改ざんされたスクリプト本体のソースコードやポリシーハッシュなどが記録されており、攻撃内容の特定に役立つ。
• レジストリの痕跡
  • レジストリキー内には、Microsoft IntuneのポリシーハッシュやスクリプトID、スクリプトを作成したユーザーのオブジェクトIDが記録される。

クラウド監査ログの盲点

　一方、Microsoft AzureやMicrosoft Intuneのログ分析では注意すべき制約が存在する。

　Microsoftの各種クラウドサービスデータにアクセスするためのAPIである「Microsoft Graph API」や、Microsoft Intuneの監査ログを参照すれば、どのエンドユーザーがスクリプトを改ざんしたのかを特定可能だ。しかし、別のエンドユーザーが改ざんしたスクリプトがエンドポイントで実行された際、ログには改ざんしたエンドユーザーではなく、最初にそのスクリプトを作成したエンドユーザーのオブジェクトIDが記録されてしまう仕様となっている。

　このため、ログに記録された実行者のオブジェクトIDだけを見て、実際の攻撃者を単純に断定することはできない。

　クラウドサービスの普及によって、攻撃の経路は複雑化している。エンドポイントでのインシデント調査を実施する際は、デバイス内の情報だけに頼るのではなく、Microsoft AzureやMicrosoft Intuneを含む全ての利用可能なテレメトリー（指標）を横断的に分析することが不可欠だ。

本稿は、SANS Instituteが2025年8月15日に公開した動画「Investigating a Malicious Script in Microsoft Intune」を基に作成しました。