Você pode abrir install.sh e ver o que ele fez. Então você terá que passar pelo tedioso processo de desfazer isso manualmente.
Mas, talvez, ele tenha sido instalado em /usr/local e não em /usr/ ?
Por fim, outra abordagem seria encontrar o binário (por exemplo, /usr/bin/truecrypt ), verificar seu tempo de alteração ( ctime ) e usar find para listar os arquivos que possuem ctime ou mtime semelhantes.
find tem a opção -newer e -newerXY . confira.