El ataque afectó tanto al almacenamiento de datos de producción como a varias capas de respaldos. Las máquinas virtuales de una SAN de Dell fueron cifradas, mientras que los sistemas que contenían los datos de respaldo presentaban distintos obstáculos para la recuperación.

Un servidor Dell PowerEdge con Veeam siguió siendo accesible, pero su volumen de respaldo de 20 TB no se podía abrir de la forma habitual. La evaluación remota determinó que aproximadamente el 33 % del volumen había sido sobrescrito con ceros.

Un sistema TrueNAS de ocho unidades que contenía copias de respaldo mostraba un sistema de archivos vacío después de que se eliminó su contenido. Un Synology de 24 unidades había sido restablecido a los valores de fábrica. Otro Synology, independiente, conservaba archivos de respaldo de Veeam, pero la falta de componentes esenciales impedía realizar las importaciones correctamente.

Dados estos sistemas distintos, el municipio contaba con varias fuentes de recuperación potenciales, pero no tenía una vía directa para restaurar sus datos críticos. Los ingenieros debían determinar qué quedaba en el almacenamiento de datos subyacente y qué fuentes podían ofrecer los respaldos que el cliente necesitaba.