IcedID Decryptor

Скрипт для статической расшифровки файлов license.dat, связанных с заражениями IcedID.

Скрипт также расшифрует секцию .data из распакованных образцов IcedID.

Примечания:

Скрипт автоматически определяет, передан ли PE-файл или файл license.dat.
Если указан PE, скрипт предполагает, что файл был предварительно распакован.
Если расшифровка прошла успешно, необработанный дамп будет записан в output.bin
Также будет выполнен быстрый поиск строк, и обнаруженные строки будут записаны в файл.
Если предоставлен распакованный PE, C2 будут отображены на экране.

Пример файла license.dat

Пример распакованного файла IcedID

Использование

icedid-decrypt.py --file unpacked_icedid.bin

icedid-decrypt.py --file license.dat

Пример

Icedid-file-decryptor