IcedID Decryptor

Un script para descifrar estáticamente los archivos license.dat asociados con infecciones de IcedID.

El script también descifrará la sección .data de muestras de IcedID desempaquetadas.

Notas:

• El script detectará automáticamente si se ha proporcionado un archivo PE o un archivo license.dat.
• Si se ha proporcionado un PE, el script asume que el archivo se ha desempaquetado primero.
• Si el descifrado es exitoso, se escribirá un volcado en bruto en output.bin
• Además, se realizará una búsqueda rápida de cadenas y las cadenas detectadas se escribirán en un archivo.
• Si se ha proporcionado un PE desempaquetado, los C2 se mostrarán en pantalla.

Archivo license.dat de ejemplo

https://bazaar.abuse.ch/sample/1de8b101cf9f0fabc9f086bddb662c89d92c903c5db107910b3898537d4aa8e7

Muestra de archivo IcedID desempaquetado

https://bazaar.abuse.ch/sample/669e69bc2a322d87cf3e21b3277f1a97ce550afb353074238b0be8faa317a82f/

Uso

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

Ejemplo