Hallo pcnberlin,
hxxp://blogs.mcafee.com/mcafee-labs/ransomware-holds-up-victims . Dann wars das wohl: Der Basis-Schlüssel, der zur Entschlüsselung gebraucht wird, wird bei Infektion an den C&C-Server gesendet und ist somit nicht mehr auf dem Infizierten Rechner. Diesen Schlüssel bekommt man dann nur noch gegen Zahlung ausgehändigt, Game over
irgendwie klingt "... the malware renames the file by prepending locked-filename.1234 (locked-<original name>.<four random characters>" aber nach der Variante, deren verschlüsselte Daten man mit den Tools aus dem TB wieder entschlüsseln kann...