IcedID Decryptor

Un script pour déchiffrer statiquement les fichiers license.dat associés aux infections IcedID.

Le script déchiffrera également la section .data des échantillons IcedID dépaquetés.

Notes :

Le script détectera automatiquement si un fichier PE ou un fichier license.dat a été fourni.
Si un PE a été fourni, le script suppose que le fichier a d'abord été dépaqueté.
Si un déchiffrement réussit, un dump brut sera écrit dans output.bin
De plus, une recherche rapide de chaînes sera effectuée, et les chaînes détectées seront écrites dans un fichier.
Si un PE dépaqueté a été fourni, les C2 seront affichés à l'écran.

Exemple de fichier license.dat

Exemple de fichier IcedID dépaqueté

Utilisation

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

Exemple

Icedid-file-decryptor