مفكك تشفير IcedID

نص برمجي يقوم بفك تشفير ملفات license.dat المرتبطة بإصابات IcedID بطريقة ثابتة (static).

سيعمل النص البرمجي أيضًا على فك تشفير قسم .data من عينات IcedID المفككة.

ملاحظات:

سيقوم النص البرمجي تلقائيًا بتحديد ما إذا تم توفير ملف PE أو ملف license.dat.
إذا تم توفير ملف PE، يفترض النص البرمجي أن الملف قد تم فك تغليفه أولاً.
إذا نجحت عملية فك التشفير، سيتم كتابة تفريغ خام (raw dump) إلى output.bin
بالإضافة إلى ذلك، سيتم إجراء بحث سريع عن السلاسل النصية، وسيتم كتابة السلاسل المكتشفة إلى ملف.
إذا تم توفير ملف PE مفكك، سيتم عرض عناوين C2 على الشاشة.

نموذج لملف license.dat

نموذج لملف IcedID مفكك

الاستخدام

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

مثال

Icedid-file-decryptor