Hyökkäys kohdistui sekä tuotannon tietojen tallennukseen että useisiin varmuuskopiokerroksiin. Dell SAN -tallennusjärjestelmän virtuaalikoneet salattiin, kun taas varmuuskopiotietoja sisältävät järjestelmät asettivat palautukselle kukin erilaisia esteitä.

Veeamia ajava Dell PowerEdge -palvelin pysyi käytettävissä, mutta sen 20 Tt:n varmuuskopiovolyymia ei voitu avata normaalisti. Etäarvioinnissa havaittiin, että noin 33 % volyymista oli ylikirjoitettu nollilla.

Kahdeksan aseman TrueNAS-järjestelmä, joka sisälsi varmuuskopioita, näytti tyhjää tiedostojärjestelmää sen sisällön poistamisen jälkeen. 24 aseman Synology oli palautettu tehdasasetuksiin. Toisessa, erillisessä Synologyssa oli säilyneitä Veeam-varmuuskopiotiedostoja, mutta puuttuvat ydinkomponentit estivät onnistuneet tuonnit.

Näiden erilaisten järjestelmien vuoksi kunnalla oli useita mahdollisia palautuslähteitä, mutta ei suoraviivaista tietä kriittisten tietojensa palauttamiseen. Insinöörien oli selvitettävä, mitä taustalla olevalle tietojen tallennustilalle oli jäljellä ja mistä lähteistä asiakkaan tarvitsemat varmuuskopiot voitaisiin saada.