IcedID Decryptor

Uno script per decrittare staticamente i file license.dat associati alle infezioni IcedID.

Lo script decritterà anche la sezione .data dai campioni IcedID decompattati.

Note:

Lo script rileverà automaticamente se è stato fornito un file PE o un file license.dat.
Se è stato fornito un PE, lo script presume che il file sia stato decompattato prima.
Se la decrittazione ha successo, un dump grezzo verrà scritto in output.bin
Inoltre, verrà eseguita una rapida ricerca di stringhe e le stringhe rilevate verranno scritte in un file.
Se è stato fornito un PE decompattato, i C2 verranno visualizzati sullo schermo.

File license.dat di esempio

File IcedID decompattato di esempio

Utilizzo

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

Esempio

Icedid-file-decryptor