Restaurando dados da imagem criptografada da partição WinXP

Question

EDIT: parece que a partição está criptografada com um software de criptografia de disco completo que usa o TPM - não vejo outra maneira de a partição parecer totalmente criptografada, enquanto, ao mesmo tempo, o computador inicializa muito bem sem qualquer autenticação de inicialização. Se for esse o caso, estou sem sorte para recuperar os arquivos? Alguma idéia?

Minha situação é a seguinte:

1. sem antecipar as consequências, removi uma conta do Windows associada a um domínio do domínio
2. isso parece ter tornado a conta do usuário inacessível - ela não me deixa entrar com o par username-password que estava funcionando bem
3. Eu inicializei o computador com um Live CD do Ubuntu, no entanto, mount falha na partição ( /dev/sda1 ), e o gparted diz que não pode reconhecer o sistema de arquivos na partição
4. Eu escrevi um script rápido em Python para ver se a partição contém sequências ASCII, mas a única coisa que o script conseguiu encontrar foi uma cadeia de ASCII relacionada ao bootstrap curto no início da partição; a partir daí, era apenas binário (para comparação, eu executei o mesmo script em uma partição que não é criptografada e deu muitos resultados, por isso é seguro assumir que o script não está com defeito; aqui está : link ; ele deve processar cerca de 15-20MB / s de dados no PyPy 2.0)

Eu copiei a imagem bruta dd da partição para outro computador (OS X), depois a converti para o formato VMDK usando qemu-img , mas o Parallels não conseguiu montar a imagem.

Eu sei o processo de dd -ing a partição para um disco rígido externo e depois montar essa partição física (em oposição a uma imagem de disco) ao meu Parallels executando o Windows 7, para ver se eu pode, de alguma forma, tentar acessar a partição.

No lado positivo, eu tenho um backup antigo do sistema, contendo o diretório inicial da conta de usuário anteriormente associada ao domínio, que também contém as pastas Application Data\Microsoft\Crypto , Application Data\Microsoft\Protect e Application Data\Microsoft\systemcertificates , que devem ser onde o Windows mantém algum tipo de certificado ou chaves da criptografia. A partir disso, assumi que a partição estava criptografada com o mecanismo EFS integrado e não com alguma ferramenta de criptografia de terceiros.

É uma partição do Windows XP, para o registro.

Estou procurando sugestões sobre como recuperar os arquivos da partição.

A lista de arquivos relacionados ao EFS no backup antigo está aqui: link

P.S. é toda a PARTIÇÃO que não consigo acessar não apenas uma pasta nela. Além disso, não tenho 100% de certeza de que é EFS criptografado; Não consegui determinar se o EFS é capaz de criptografar uma partição inteira.