IcedID Decryptor

Um script para descriptografar estaticamente arquivos license.dat associados a infecções por IcedID.

O script também descriptografará a seção .data de amostras IcedID desempacotadas.

Notas:

• O script detectará automaticamente se um arquivo PE ou arquivo license.dat for fornecido.
• Se um PE for fornecido, o script assume que o arquivo foi desempacotado primeiro.
• Se a descriptografia for bem-sucedida, um dump bruto será gravado em output.bin.
• Além disso, uma busca rápida por strings será realizada e as strings detectadas serão gravadas em um arquivo.
• Se um PE desempacotado for fornecido, os C2s serão exibidos na tela.

Arquivo license.dat de exemplo

https://bazaar.abuse.ch/sample/1de8b101cf9f0fabc9f086bddb662c89d92c903c5db107910b3898537d4aa8e7

Exemplo de arquivo IcedID desempacotado

https://bazaar.abuse.ch/sample/669e69bc2a322d87cf3e21b3277f1a97ce550afb353074238b0be8faa317a82f/

Uso

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

Exemplo