Der Angriff betraf sowohl den produktiven Datenspeicher als auch mehrere Backup-Ebenen. Virtuelle Maschinen auf einem Dell-SAN wurden verschlüsselt, während die Systeme mit den Backup-Daten jeweils unterschiedliche Hindernisse für die Wiederherstellung darstellten.

Ein Dell-PowerEdge-Server mit Veeam blieb zugänglich, doch sein 20 TB großes Backup-Volume ließ sich nicht normal öffnen. Die Remote-Evaluierung ergab, dass etwa 33 % des Volumes mit Nullen überschrieben worden waren.

Ein TrueNAS-System mit acht Laufwerken, das Backup-Kopien enthielt, zeigte nach der Löschung seiner Inhalte ein leeres Dateisystem. Ein Synology mit 24 Laufwerken war auf Werkseinstellungen zurückgesetzt worden. Ein weiteres, separates Synology enthielt noch vorhandene Veeam-Backup-Dateien, doch fehlende Kernkomponenten verhinderten erfolgreiche Importe.

Angesichts dieser unterschiedlichen Systeme verfügte die Gemeinde über mehrere mögliche Wiederherstellungsquellen, aber über keinen unkomplizierten Weg, ihre kritischen Daten zurückzuspielen. Die Ingenieure mussten klären, was auf dem zugrunde liegenden Datenspeicher noch vorhanden war und welche Quellen die vom Kkunden benötigten Backups liefern konnten.