L’attacco ha colpito sia l’archiviazione dati di produzione sia diversi livelli di backup. Le macchine virtuali su una SAN Dell sono state crittografate, mentre i sistemi che contenevano i dati di backup presentavano ostacoli diversi al recupero.

Un server Dell PowerEdge con Veeam è rimasto accessibile, ma il suo volume di backup da 20 TB non poteva essere aperto normalmente. La valutazione da remoto ha rilevato che circa il 33% del volume era stato sovrascritto con degli zeri.

Un sistema TrueNAS a otto dischi contenente copie di backup mostrava un file system vuoto dopo l’eliminazione del suo contenuto. Un Synology a 24 dischi era stato ripristinato alle impostazioni di fabbrica. Un altro Synology, separato, conteneva file di backup Veeam sopravvissuti, ma la mancanza di componenti fondamentali impediva di eseguire con successo le importazioni.

Considerati questi diversi sistemi, il comune disponeva di più potenziali fonti di recupero, ma di nessun percorso semplice per ripristinare i propri dati critici. Gli ingegneri dovevano stabilire cosa restasse sull’archiviazione dati sottostante e quali fonti potessero restituire i backup di cui il cliente aveva bisogno.