DgFRzUIOPHJV verschlüsselte Dateien durch Paysafe Trojaner

FraWe

die ersten 12K jeder Datei (außer Direktory) sind auch bei mir verschlüsselt
XOR gegenüber Backup-Datei liefert bei jeder Datei andere XOR-Werte
die Anzahl Bytes und das Datum sind unverändert
Vielleicht verwendet der nicht XOR.

Mit diversen Dateiwiederherstell-Programmen habe ich nach gelöschten Dateien gesucht,
auch ohne Erfolg, sieht so aus, als ob der Trojaner direkt in die Datei rein geschrieben hat.
Der Tronajer hat 3 zusätzliche Dateien angelegt:
Ordner C:\Dokumente und Einstellungen\%username%\Lokale Einstellungen\Temp
24F73BA6303943500031.$$0 708KB
24F73BA6303943500031.$02 1.62MB
24F73BA63039435000315247 1KB (ohne Extension, war gelöscht)
Alle 3 Dateien sind exakt zum Zeitpunkt des Trojaner-Starts erstellt worden.
Vielleicht steht da irgendwas brauchbares drin.
Die Datei ohne Extension könnte den Schlüssel enthalten, die anderen beiden vielleicht Namen und Schlüssel. Wenn ich den Schlüssel mit XOR drüber lege, sehe ich aber bisher auch nichts sinnvolles.
Weiter oben in diesem Thema stand: Wissen zusammenfassen
Gute Idee: Ich bin dabei.