伊藤忠サイバー&インテリジェンス株式会社は4月3日、日本語ばらまきマルウェアメールの観測状況を同社ブログで発表した。
同社では、日本に対する様々な脅威を把握する一環として、日本語の件名と本文の不審メールを継続的に観測・分析しており、その活動において 2025年12月から2026年3月にかけて、複数の日本国内の組織への様々な日本語ばらまきマルウェアメールの送信を観測している。
同記事では、2025年12月以降に観測された日本語ばらまきマルウェアメールを紹介し、特にその中でも様々な手法の変化を見せた「ValleyRAT（別名Winos 4.0）」の感染を狙ったメールに焦点を当てて解説している。
同社が2025年12月から2026年3月に観測した日本語ばらまきマルウェアメールは下記のような内容のものがあったが、特に「ValleyRAT」への感染を狙うメールの割合の高さが目立っていたという。
Teams を装ったメール
落札連絡を装ったメール
税務関連のメール
企業の経営層を装ったメール
多くの攻撃者グループでは、一度決めた手法を変化させず継続させるが、「ValleyRAT」に関係するメールは文面だけではなく、リンク先や手法を変化させる特徴があり、その手法は大別すると下記3つのタイプがあり、その目的について、それぞれ考察している。
・タイプ1：リンク型（正規サイトの悪用）
4つの正規サイト（github[.]com、myqcloud[.]com、gofile[.]io、limewire[.]com）の悪用
正規サイトのドメインが使われていることから、Webフィルタリングされたり、スパムメールも悪性のリンクと判断し辛いことを狙っていると考えられる。
・タイプ2：リンク型（悪性サイトの使用）
攻撃者が用意したサイトや、細工されたサイトを使うリンク型のメールも観測している
取得直後のドメインはレピュテーションスコアが付与されていない場合が多く、上記の正規サイトのようなストレージサービスへのアクセスを制限している環境を狙っていると考えられる。
・タイプ3：添付ファイル型
リンク型だけでなく、古典的な手法である添付ファイル型のメールも観測している
多くのマルウェアメールで現在も多用されている
