Verschlüsselungs-Trojaner, Hilfe benötigt

[Haubentaucher]

Hallo zusammen,

bin aus aktuellem Anlass auf das Board aufmerksam geworden...
Habe großen Respekt vor der Hingabe und dem persönlichen Einsatz, mit der hier an dem Thema gearbeitet wird. Danke!

Ich bin zugegeben affiner Laie, also wohl der für jedes System gefährliche Halbwissende (aber immerhin kein Politiker.)
In einem Haufen der quasi getöteten Dateien habe ich rumgestochert, ob noch was brauchbares zu finden ist.
Immerhin konnte ich auf einer Partition die Namen und Formate lesbar machen.
Die Inhalte sind codiert und werden entsprechend dargestellt.

Dabei ist mir aufgefallen:
In den Eigenschaften der verschlüsselten Dateien taucht ein (selbstredend unauthorisierter) Besitzer auf, der für die Verschlüsselung Dateien genutzt wurde. (Anhang hier ungenau: Der war Besitzer mit ausschl. 'speziellen Rechten')
Eine Änderung der Datei wurde nicht erkannt, aber das Erstellungsdatum auf Anfang des 17. Jahrhunderts geändert, die Verschlüsselung erfolgte real etwas später, am 12.06.12 um ~10:08h MEZ, ich war dabei
Andere betroffene Dateien haben den gleichlautenden 'Besetzer'.

Wie wird dessen eigentümlicher Name generiert?
Kann hier vielleicht doch noch der Schlüssel zum Schlüssel liegen?

Ich kann nicht beurteilen, ob ich inspiriere oder nur Zeit stehle. Bitte um Nachsicht.
Danke!