Genoprettelse af kritiske kommunale data uden at betale løsesum

oktober 21, 2026
Andy Maus
Casestudier

Genoprettelse af kritiske kommunale data

uden at betale løsesum

Kunde:
Kommune

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

Resultater:
Ti backupdatasæt genoprettet, herunder en backup af en filserver på 34 TB; seks yderligere applikationsbackups genoprettet til 99–100 %

En kommune stod over for et krav om løsesum fra ransomware: dens virtuelle produktionsmaskiner var krypteret, og flere backupsystemer var kompromitteret. De backups, der skulle give en vej tilbage, var slettet, delvist overskrevet eller gjort utilgængelige. At genoprette kommunens kritiske data uden at betale løsesummen krævede, at man fandt brugbare data i den beskadigede backupinfrastruktur.

DriveSavers genoprettede en backup af en filserver på 34 TB, adgangskontroldata, to virtuelle diske fra webservere og seks yderligere applikationsbackups. Kommunen bekræftede til sidst, at alle nødvendige data var genoprettet, hvilket gav et alternativ til at betale angriberne.

Situationen omkring datatabet

Angrebet ramte både datalagringen til produktion og flere lag af backups. Virtuelle maskiner på et Dell SAN blev krypteret, mens systemerne, der indeholdt backupdata, havde forskellige forhindringer for genoprettelse.

En Dell-server med Veeam forblev tilgængelig, men dens backupvolumen på 20 TB kunne ikke åbnes på normal vis. Fjernevalueringen viste, at omkring 33 % af volumenen var overskrevet med nuller.

Et TrueNAS-system med otte drev, som indeholdt backupkopier, viste et tomt filsystem, efter at indholdet var blevet slettet. En Synology med 24 drev var blevet nulstillet til fabriksindstillinger. En anden Synology indeholdt tilbageværende Veeam-backupfiler, men manglende komponenter forhindrede vellykkede importer.

Kommunen havde flere potentielle genoprettelseskilder, men ingen ligetil vej til at genoprette sine kritiske data. Ingeniørerne skulle afgøre, hvad der var tilbage på den underliggende datalagring, og hvilke kilder der kunne levere de backups, kunden havde brug for.

Genoprettelsesprocessen

DriveSavers gennemgik miljøet sammen med kommunen og dens incident response-leverandør og identificerede, hvilke systemer der kunne evalueres eksternt, og hvilke der krævede undersøgelse i laboratoriet. Kommunen fastlagde sine prioriteter, så ingeniørerne først kunne fokusere på de vigtigste datasæt.

Genoprettelse af de prioriterede backups

Den Synology, der var nulstillet til fabriksindstillinger, indeholdt 24 drev konfigureret som to RAID 6-arrays med 12 drev hver. Laboratorieanalysen afslørede skader på BTRFS-filsystemet, men scanninger fandt Veeam-backups af kommunens prioriterede filserver og adgangskontrolsystem.

Ingeniørerne udtrak filserverens backup på cirka 34 TB og adgangskontrollens backup på 46 GB.

Genoprettelse af to webservere

TrueNAS-systemet indeholdt otte drev i en RAID 5-konfiguration med filsystemet ZFS. Scanninger fandt to backups af webservere på cirka 32 GB og 2,1 GB.

Yderligere udviklingsarbejde gjorde det muligt for ingeniørerne at genoprette begge webservernes virtuelle diske med kun mindre skader.

Udvidelse af genoprettelsen

Kommunen anmodede derefter om seks yderligere applikationsbackups, der dækkede software til retsadministration, geografiske informationssystemer og et beskedarkiv.

Ingeniørerne fandt alle seks på den 24-drevs Synology og gennemførte udtrækket. De omfattede backups af GIS-hosting, portal, SQL og web samt backups af retsadministration og beskedarkivering. Tre blev genoprettet fuldstændigt, og tre blev genoprettet til 99 % hver.

Genoprettelsesresultater

Dataene blev leveret i etaper, efterhånden som genoprettelsen skred frem, via elektroniske overførsler og afsendte datalagringsenheder. Kommunen bekræftede, at alle nødvendige data var genoprettet med succes uden betaling af løsesum.

Genoprettede data

Prioriteret backup af filserver

Cirka 34 TB udtrukket

Backup af adgangskontrol

46 GB udtrukket

Backup af adgangskontrol

Genoprettet med kun mindre skader

Backups af GIS-hosting, SQL og web

100 % af hver genoprettet

Säkerhetskopior av GIS-portal, domstolsadministration och meddelandearkiv

99 % af hver genoprettet

Gendannelsesoversigt

Vejen til genoprettelse gik via backupdata, der overlevede angrebet, men som ikke længere var tilgængelige gennem normale genoprettelsesmetoder. At finde og udtrække disse data krævede arbejde på tværs af flere datalagringsplatforme, RAID-konfigurationer og filsystemer.

Ved at arbejde sig igennem beskadigede backupsystemer og prioritere kommunens mest kritiske data genoprettede DriveSavers alt, hvad kunden havde peget på som nødvendigt, og forvandlede kompromitterede backups til en vej videre efter angrebet.

Står du i en lignende situation? Kontakt DriveSavers på 1 (888) 282-2227.

Andy Maus

Andy Maus er leder af afdelingen for strategiske partnerskaber og cybergendannelsestjenester hos DriveSavers, hvor han står i spidsen for initiativer, der hjælper organisationer med at gendanne kritiske data efter cyberhændelser, ransomware-angreb og andre sikkerhedsbrud. Han kom til DriveSavers i 2023 efter mere end to år hos Arete Incident Response, hvor han indførte datagendannelsestjenester i virksomhedens gendannelsesportefølje og opbyggede strategiske alliancer med SentinelOne, Dell og Presidio.
Tidligere var han hos Ontrack Data Recovery ansvarlig for det globale salg og støttede komplekse datagendannelser for kunder i 22 lande. Med mere end tre årtier i teknologiindustrien – herunder ledende stillinger hos Dell, Mitel og Level 3 Communications – bidrager Andy med omfattende erfaring inden for håndtering af cyberhændelser, metoder til datagendannelse og tekniske operationer i stor skala.