Wiederherstellung der verschlüsselten Dateien (Rechnung.exe, Realtecdriver.exe Schadsoftware)

Olaf-NF

Habe vor einigen Tagen einen PC von Bekannten bekommen mit dem og. beschriebenen Problem Verschlüsselungs-Trojaner. Nach PC-Start kommt die Seite mit der UCash-Aufforderung und dann reagiert der PC nicht mehr.
Der Rechner läuft mit Win XP Prof. und der Trojaner wurde vermutlich am 12.06.2012 mit einem Rechnungs-Anhang an einer Mail geladen.
Ich habe die Festplatte nun an einem Win 7 System extern angeschlossen und mit Malwarebytes vollständig geprüft - jedoch wurde kein Trojaner gefunden.
Die Datei-Namen auf der Festplatte sind zum Teil durch wilde Buchstabenfolgen ersetzt und das Erstelldatum auf den 13. Februar 1601 gesetzt. In den betroffenen Verzeichnissen sind nur einige Dateien vom Typ .inf .dat .bin .ini scheinbar nicht verändert.
Im Temp-Verzeichnis habe ich Dateien gefunden, welche zum warscheinlichen Zeitpunkt der Änderungen angelegt wurden:

B4F02758323053570000.$02
B4F02758323053570000.$$0
B4F027583230535700006461
Desk.$00

Im Verzeichnis C:\Dokumente und Einstellungen\Desktop habe ich eine Datei ACHTUNG-LESEN.txt gefunden mit dem Inhalt:

Sehr geehrte Damen und Herren,
anscheinend wurde das Update Programm vollständig unterbrochen. Jetzt kann das Virus nur manuell beseitigt werden. Dies brauchen Sie um Ihre Dateien benutzen zu können. Falls Sie also die gesperrten Daten brauchen, senden Sie uns bitte 200 Euro Ukash Code an die Email: software-update@inbox.lt, so bald dieser Code geprüft wurde, erhalten Sie ein Update Programm. Falls Sie Ihre Daten nicht brauchen raten wir Ihnen dringend Ihren Computer zu formatieren um den Virus vollständig zu entfernen. Ukash können Sie an einer beliebigen Tankstelle erwerben und auch in mehreren Internetcafes in Ihrer Nähe.
mfG Ihr Security Team

Vieleicht helfen diese Informationen etwas weiter bei der Suche nach einer Lösung.