Zitat von Olaf-NF

Nach PC-Start kommt die Seite mit der UCash-Aufforderung und dann reagiert der PC nicht mehr.
...
- jedoch wurde kein Trojaner gefunden.

moin moin,
wenn der XP-Rechner mit dieser HDD noch das o. g. Verhalten zeigt, dann ist er nicht virenfrei.
Welche Verhaltensauffälligkeiten zeigt der Rechner noch?
Ist er noch im abgesicherten Modus bootbar?
Hast Du Zugriff auf den Taskmanager und Regedit?
Welches Interesse besteht an den verschlüsselten Daten?

Zitat von Olaf-NF

auf der Festplatte sind zum Teil durch wilde Buchstabenfolgen ersetzt und das Erstelldatum auf den 13. Februar 1601 gesetzt.

Das sind typische Anzeichen für eine Trojanerversion, die die ersten 12k einer Datei überschreibt und damit verschlüsselt.
Bei dieser Verschlüsselung helfen die oben unter Hinweise beschriebenen acht Tools nicht.

Zitat von Olaf-NF

Im Temp-Verzeichnis habe ich Dateien gefunden, welche zum warscheinlichen Zeitpunkt der Änderungen angelegt wurden:

B4F02758323053570000.$02
B4F02758323053570000.$$0
B4F027583230535700006461
Desk.$00

Im Verzeichnis C:\Dokumente und Einstellungen\Desktop habe ich eine Datei ACHTUNG-LESEN.txt gefunden mit dem Inhalt:

Auch das ist symptomatisch für den Verschlüsselungstrojaner der Version 1.o4.xx oder höher.
Die Datei *.$02 enthält die Informationen über die Verschlüsselung jeder einzelnen Datei, einschließlich Klarnamen und Schlüssel.
Die Datei selbst ist doppelt verschlüsselt und der Schlüssel wurde auf einen externen Server ausgelagert.

Zitat von Olaf-NF

Vieleicht helfen diese Informationen etwas weiter bei der Suche nach einer Lösung.

Weniger, aber trotzdem Danke.

Volker

Zitat von Undertaker

wenn der XP-Rechner mit dieser HDD noch das o. g. Verhalten zeigt, dann ist er nicht virenfrei.

Der Rechner bootet wieder normal - ohne Fehlermeldungen.
Scheinbar sind keine system-wichtigen Dateien verschlüsselt worden.

Zitat von Undertaker

Welche Verhaltensauffälligkeiten zeigt der Rechner noch?
Ist er noch im abgesicherten Modus bootbar?
Hast Du Zugriff auf den Taskmanager und Regedit?

Zum Zeitpunkt vor der "Reinigung" bootete der Rechner nicht im abgesicherten Modus und im normalen Modus wurde er ja gleich eingefroren, so daß Regedit und Taskmanager nicht möglichwaren.

Zitat von Undertaker

Welches Interesse besteht an den verschlüsselten Daten?

Auf der Festplatte sind einige Bilder / Foto's gespeichert, für die es keine Sicherung gibt - aber soooo wichtig scheinen diese auch nicht.

Die Festplatte ist eine MAXTOR DiamondMax Plus 8 ATA/133 mit 40 GB.
Ich kann / darf euch diese überlassen, wenn sie für eine Analyse hilfreich ist.

MfG
NF-Olaf