IcedID 복호화 도구

IcedID 감염과 관련된 license.dat 파일을 정적으로 복호화하는 스크립트입니다.

또한 언패킹된 IcedID 샘플의 .data 섹션도 복호화합니다.

참고 사항:

• 스크립트는 PE 파일 또는 license.dat 파일이 주어졌는지 자동으로 감지합니다.
• PE 파일이 제공된 경우, 해당 파일이 먼저 언패킹되었다고 가정합니다.
• 복호화에 성공하면 원시 덤프가 output.bin에 기록됩니다.
• 또한 빠른 문자열 검색이 수행되며, 탐지된 문자열은 파일에 기록됩니다.
• 언패킹된 PE가 제공된 경우 C2가 화면에 표시됩니다.

샘플 license.dat 파일

https://bazaar.abuse.ch/sample/1de8b101cf9f0fabc9f086bddb662c89d92c903c5db107910b3898537d4aa8e7

샘플 언패킹 IcedID 파일

https://bazaar.abuse.ch/sample/669e69bc2a322d87cf3e21b3277f1a97ce550afb353074238b0be8faa317a82f/

사용법

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

샘플