IcedID Decryptor

Ein Skript zur statischen Entschlüsselung von license.dat-Dateien, die mit IcedID-Infektionen in Verbindung stehen.

Das Skript entschlüsselt außerdem den .data-Abschnitt von entpackten IcedID-Proben.

Hinweise:

Das Skript erkennt automatisch, ob eine PE-Datei oder eine license.dat-Datei übergeben wurde.
Wenn eine PE-Datei bereitgestellt wurde, geht das Skript davon aus, dass die Datei zuvor entpackt wurde.
Wenn die Entschlüsselung erfolgreich ist, wird ein Rohdaten-Dump in output.bin geschrieben.
Zusätzlich wird eine schnelle String-Suche durchgeführt, und erkannte Strings werden in eine Datei geschrieben.
Wenn eine entpackte PE-Datei bereitgestellt wurde, werden die C2-Adressen auf dem Bildschirm angezeigt.

Beispiel license.dat-Datei

Beispiel für eine entpackte IcedID-Datei

Verwendung

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

Beispiel

Icedid-file-decryptor