この記事は、NECのCyIOC Intelligence Teamが、リサーチ活動を通して得た情報を掲載しています。
CyIOC Intelligence Teamは、ValleyRATのC2サーバについて調査を実施し、ASの偏りなどの運用の癖や、一部インフラが投資詐欺と併用されている可能性があることを確認しました。
以下に、調査内容の主要な点をまとめます。
サマリ
- 日本で流行するValleyRATのC2インフラをThreatFox起点に調査
- C2のIPはCTG ServerとAWSが多く、調査時点でアクティブなC2のみに限定するとCTG Serverに偏在
- 稼働中C2は公開スキャンサービスに出ないため、独自スクリプトで能動検出
- 配布サーバが投資詐欺プラットフォームの可能性が高いサーバと同一インフラを共有
- アクターは金銭目的の中国語話者と推定
調査目的
現在、ValleyRATの配布が日本で流行しています。そのため、このマルウェアに対する調査と対策は重要です。
本調査では、ValleyRATについてC2サーバの把握やアクターの特定を行い、可能であれば今後のマルウェア配布などを予測できるようにすることを目的としました。
ValleyRATのC2情報を収集
2026年4月1日から8月初旬までに観測したC2情報を収集し、傾向の把握を行いました。IPによるC2が多い傾向が分かります。
ワールドワイド（含む国内）
日本国内
IPアドレスは、ドメインから名前解決した先のものも含まれていますが、それを考慮してもIPの方が多いことがわかります。
ValleyRAT C2 IPのAS傾向
C2のIPアドレスが、どのホスティング事業者（AS）に属するかを集計しました。
Amazon（AWS）は単純にIaaSとして利用されることが多いインフラです。こういった通常利用の傾向との違いを考えますと、顕著に多いのは CTG Server（AS152194）でした。なお、このASは防弾ホスティングの疑いがあります。他には、Alibaba（AS45102）、Tcloudnet（AS399077）が続いていました。
現在もアクティブなC2の探索
通常、C2サーバがまだ稼働しているかどうかは、Shodanなどのサービスを使うのが最も手軽です。しかし、最近のValleyRATのC2ポートは、Shodan / Censys / FOFA / ZoomEyeなどでほぼ出てきません。
※ 134.122.185[.]201（6685, 6698がC2ポート）の例では、どのサービスでも出てきませんでした。
そのため、実態を把握するためには独自に探す必要があります。
独自スクリプトでのアクティブC2検出
全C2サーバに対して、C2独自の応答有無を模倣することで死活判定を行いました。この調査は、単純にポートが今も生きているかどうかではなく、Nmapスクリプトを使って判定しています。
これは対象となるIP・ポートにチェックインコードを送信し、その応答内容が想定した内容であるかどうかでValleyRAT C2かを調査しました。ValleyRATには複数の通信モードがあり、それぞれ次のフィンガープリントを持ちます。
この3つのモードをそれぞれ送信し、C2サーバであるかどうかの判定を行いました。
アクティブなIPとAS
アクティブなC2の確認をした結果、CTG ServerのASが最多となりました。IPとしては最多だったAWS（AS16509）では、アクティブなC2は存在しませんでした。
この結果を持って、CTG ServerのASで既知のC2と同じサブネットに対しては、悪用履歴があるポートに限定して他サーバがないか追加調査をしました。
結果、追加で1 IPを発見し、合計で29 IP（45ポート） が存在していました。
なお、ポートにランダム性が強く、過去に悪用されたポートのみに限定した探索では、見つかっていないサーバも多く存在すると考えます。
この観点でのより広範な調査について、また別の機会に実施予定です。
アクティブなC2のGeoロケーション
アクティブなC2の地理的分布を見ると、アジア圏が多いことが分かります（2026-08-14時点）。
日本国内で配布されたValleyRATの傾向
日本国内で配布されたものに限定して調査を行いました。
43.128.26[.]132 が最も長く使われていましたが、それでも2026-05-27からの3か月程度でした。このことから、基本は短命のC2を使い捨てる運用であると考えています。
マルウェア配布サーバも追加調査
C2サーバのみではなく、マルウェア配布に使われているサーバも追加で調査を行い、同じIPで別の攻撃に関する活動が見えています。
hxxps[:]//xjvbn[.]com/（137.220.171[.]36）
マルウェア配布時には、本サーバはマルウェアダウンロードのみで、表示はありませんでした。
出典1. https://x.com/tdatwja/status/2038868639177494702
出典2. https://urlscan.io/result/019d4f39-ff41-726c-ad15-28285d130aef/
新たなサーバは金融関係の機能を持つ
管理画面には、他にも金融関係の機能などが存在していると思われます。これらはログインしなくても、viewのモジュール名から推定できます。また、「JP」がつくモジュールも存在しており、日本向けの機能も持っていると考えます。
本サーバには複数のDNS情報が紐づいており、この別DNS情報でアクセスすると投資系のプラットフォームが表示されます。これらはすべて 137.220.171[.]36 に解決します。
本サーバが持つ機能
各種モジュールにある情報を確認する限り、おそらく投資詐欺系のサイトと思われます。理由は、金融系のモジュールを持ち、管理者が非常に強大な権限を持っていることなど、投資詐欺関連に当てはまる多くの特徴を持っているためです。
ただし、このサーバを用いた投資詐欺が行われているような情報はSNS等で観測できませんでした。
機能一覧
- ユーザー機能
- エージェント（代理店）機能
- 出金管理（拒否も可能）
- その他さまざまな機能
APIエンドポイントからも、これらの機能が読み取れます。
エージェント系エンドポイント
エージェント系エンドポイント
/agent/add
/agent/update
/agent/child
出金系エンドポイント
出金系
POST /withdraw/list
POST /withdraw/examineOk
POST /withdraw/reject
POST /withdraw/remarks
POST /withdraw/changeAddress
これらの観点と、運営者情報が不明な点、複数の新規ドメインで別アプリを偽装して動かしている点などから投資詐欺系の活動であると判断しています。
類似サーバの探索
類似サーバを探索したところ、強い類似性を持つサーバで 8 IP、他に可能性のあるサーバで 29 IP が発見できました。
強い類似性を持つサーバ群（モジュールパスの完全一致など）
154.81.136[.]16
137.220.171[.]36
82.109.60[.]183
※日本国内には1 IP
可能性のある類似性を持つサーバ群（同じモジュール構成など）
64.83.34[.]31
38.60.212[.]131
223.26.52[.]47
※日本国内には2 IP
強い類似性を持つ8 IPは、chunk短縮識別子まで一致しています。29 IPは同じ詐欺用キットを使っていると思われます。
別IPでのサイト内容
別サイトもほぼ類似したインタフェースであり、いずれも金融系の内容になっています。
本サイトの運営と、ValleyRAT配布は同じアクターか？
同じドメインが使われていましたが、ドメイン側でのAレコードの切り替え忘れによる発生もあり得ます。xjvbn[.]com の証明書はすでに失効しており、新しい別証明書として前述した admin[.]gaprodeag[.]pro などをSANに持つものが取得されています。このことから、本サイトでのValleyRATの配布活動はすでに停止していると考えています。
しかし、この投資詐欺系のサイトはHTML内を見ると中国語が多く用いられており、ValleyRATのフィッシング文面にも多く中国語が用いられていることから、いずれも中国語話者の可能性が高いと考えます。この観点も含めると、確度：中〜高で同一攻撃者によるもの と考えます。
参考として、当該サーバのAPIは次の応答を返しました。
アクター
xjvbn[.]com でValleyRATを配布していたアクターは、投資詐欺も行っている金銭的動機の強い攻撃者であると考えます。また、ValleyRATおよび投資詐欺のいずれにも中国語が用いられているため、アクターは中国語話者であると考えます。
なお、ValleyRATは2024年まではSilver Foxのみが用いていましたが、ビルダーが漏洩したため、このマルウェアを利用していることをもってSilver Foxに帰属することは困難です。
アクターに関する追加分析
類似性の強いサイトである blockchain-z[.]com を確認すると、「JucaiDe」という文言とサイトおよびメールアドレスが確認できました。
hxxps[://]pc[.]blockchain-z[.]com/js/index-92d4919c[.]js
このJucaiDeは、バハマで未登録業者として名前が挙げられていました（Public Notice No.1 of 2026, P2「UNREGISTERED/UNLICENSED ENTITIES」No.8）。
参考: https://scb.gov.bs/wp-content/uploads/2026/01/Public-Notice-No.1-of-2026-Unregulated-Entities-and-Websites.pdf
JucaiDeの関係性
本サーバと酷似するインタフェースの、証券取引関連のOSSについての情報が存在しています。
参考: https://zone.ci/secarticles/wx/548747.html
そのため、このサーバテンプレート自体は一般に出回っていると思われ、利用がそのまま同一アクターに帰属するとは言えないものになっています。
以上の調査結果から、現時点でアクターについては以下と考えています。
- 投資詐欺用プラットフォームのテンプレートが存在していること
- 一部にはJucaiDeの名称が埋め込まれていること
- これらのプラットフォームを使っているアクターがValleyRATの配布を行っていること
結論と今後の解析
今回、ValleyRATのC2インフラについて調査を行い、AS(AS152194, CTG Server Limited)の偏りなどがわかりました。また、これらのC2サーバは多くの場合短命であり、使い捨てられていることがわかっています。そのため、新しいC2サーバを能動的に探し、迅速に対処することが重要であると考えます。
我々もこのマルウェアについては注視しており、より広範囲の調査を進めています。発見したものは、今後新たにご報告をさせていただく予定です。
付録: IOC一覧
ValleyRAT C2
参考サイト
[1] サイト1「Threat Fox」
