Recuperando archivos cifrados de una partición NTFS con EFS (Encrypted File System)

Ayer me dejaron un portátil que no arrancaba, para que tratase de arreglarlo. Había que intentar no perder los datos si era posible, porque su dueño tenía ahí todas sus fotos y vídeos personales, y como siempre, no tenía copia de seguridad (Me recuerda la frase "hay dos tipos de usuarios de ordenadores: los que han perdido datos, y los que los perderán".
El disco duro tenía dos particiones, una con las aplicaciones instaladas y otra con los datos de usuario (escritorio, documentos, fotos, etc.). Windows XP comenzaba a arrancar, pero en mitad del arranque el portátil se reiniciaba sólo.
Intenté varias cosas como restaurar el MBR desde la consola de recuperación de Windows, y también arranqué el ERD Commander para verificar que los ficheros seguían ahí. ERD Commander te permite "Restaurar el sistema a un estado anterior", pero desafortunadamente estaba desactivado este sistema en Windows XP, por lo que no había backups anteriores del sistema.
Sin embargo, desde ERD Commander pude ver que los datos seguían ahí y podía acceder a ellos. Así que decidí sencillamente borrar la partición del sistema, formatearla con NTFS (rápido), crear una nueva y reinstalar Windows XP en ella.
Cuál fue mi sorpresa cuando, una vez reinstalado el sistema operativo, me dí cuenta de que podía ver los ficheros de la partición de datos, pero no podía acceder a ellos (aparecían con un color verde en el explorador de Windows).

Comencé a investigar por qué aparecían los ficheros en color verde, y entonces descubrí lo que desconocía: El Encrypting File System. Resulta que en un sistema de ficheros NTFS se pueden tener carpetas y archivos encriptados, de manera que alguien puede acceder a los ficheros pero su contenido no se puede descifrar sin una clave de desencriptado, que Windows almacena en su partición del sistema (la que yo acababa de formatear).
Después de muchas investigaciones, pude hacerme con la herramienta Advanced EFS Data Recovery, que busca los archivos encriptados y trata de desencriptarlos, buscando también los ficheros de Windows con la clave.

Sin embargo, como yo había formateado la partición, el wizard que trae la herramienta para buscar las claves de desencriptación no funcionó. Tuve que entrar en el modo experto, el cuál incorpora una opción (sólo a partir de la versión 4) para poder examinar a nivel de sector físico el disco duro, buscando posibles claves. Tuve suerte, ya que al formatear la partición con el modo "rápido" el contenido no se borra físicamente del disco duro, así que el programa encontró las claves de desencriptación y pude recuperar las fotos del dueño.

• Nota importante: El programa, en su versión "Trial", aunque parece que ha desencriptado bien los ficheros no lo hace, ya que como te avisa en un mensaje, sólo desencripta los primeros 512 bytes de cada archivo (el resto lo rellena a ceros). Si adquieres una licencia puedes desencriptar los ficheros completos.

Espero que os sirva de ayuda si alguna vez os encontráis con este tipo de ficheros "marcianos" mostrados en verde.