Gjenoppretting av kritiske kommunale data uten å betale løsepenger

oktober 21, 2026
Andy Maus
Casestudier

Gjenoppretting av kritiske kommunale data

uten å betale løsepenger

Kunde:
Kommune

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

Resultater:
Ti sikkerhetskopidatasett gjenopprettet, inkludert en sikkerhetskopi av en filserver på 34 TB; seks ytterligere applikasjonssikkerhetskopier gjenopprettet med 99–100 %

En kommune sto overfor et krav om løsepenger etter et løsepengevirusangrep: de virtuelle produksjonsmaskinene var kryptert, og flere sikkerhetskopisystemer var kompromittert. Sikkerhetskopiene som skulle gi en vei tilbake, var slettet, delvis overskrevet eller gjort utilgjengelige. Å gjenopprette kommunens kritiske data uten å betale løsepenger krevde at man fant brukbare data i den skadde sikkerhetskopiinfrastrukturen.

DriveSavers gjenopprettet en sikkerhetskopi av en filserver på 34 TB, tilgangskontrolldata, to virtuelle disker fra webservere og seks ytterligere applikasjonssikkerhetskopier. Kommunen bekreftet til slutt at alle nødvendige data var gjenopprettet, noe som ga et alternativ til å betale angriperne.

Situasjonen rundt datatapet

Angrepet rammet både datalagring for produksjon og flere lag med sikkerhetskopier. Virtuelle maskiner på en Dell SAN ble kryptert, mens systemene som holdt sikkerhetskopidataene, hadde ulike hindringer for gjenoppretting.

En Dell-server som kjørte Veeam, forble tilgjengelig, men sikkerhetskopivolumet på 20 TB kunne ikke åpnes på vanlig måte. Ekstern evaluering viste at omtrent 33 % av volumet var overskrevet med nuller.

Et TrueNAS-system med åtte disker som inneholdt sikkerhetskopier, viste et tomt filsystem etter at innholdet var slettet. En Synology med 24 disker var blitt tilbakestilt til fabrikkinnstillinger. En annen Synology inneholdt gjenværende Veeam-sikkerhetskopifiler, men manglende komponenter hindret vellykket import.

Kommunen hadde flere potensielle gjenopprettingskilder, men ingen enkel vei til å gjenopprette de kritiske dataene sine. Ingeniørene måtte avgjøre hva som var igjen på den underliggende datalagringen, og hvilke kilder som kunne gi de sikkerhetskopiene kunden trengte.

Gjenopprettingsprosessen

DriveSavers gikk gjennom miljøet sammen med kommunen og leverandøren av hendelseshåndtering og identifiserte hvilke systemer som kunne evalueres eksternt, og hvilke som krevde undersøkelse i laboratoriet. Kommunen satte opp sine prioriteringer slik at ingeniørene først kunne konsentrere seg om de viktigste datasettene.

Gjenoppretting av de prioriterte sikkerhetskopiene

Synologyen som var tilbakestilt til fabrikkinnstillinger, inneholdt 24 disker konfigurert som to RAID 6-arrayer med 12 disker hver. Laboratorieanalysen avdekket skade på BTRFS-filsystemet, men skanninger fant Veeam-sikkerhetskopier av kommunens prioriterte filserver og tilgangskontrollsystem.

Ingeniørene hentet ut sikkerhetskopien av filserveren på omtrent 34 TB og sikkerhetskopien av tilgangskontrollen på 46 GB.

Gjenoppretting av to webservere

TrueNAS-systemet inneholdt åtte disker i en RAID 5-konfigurasjon med ZFS-filsystemet. Skanninger fant to sikkerhetskopier av webservere på omtrent 32 GB og 2,1 GB.

Ytterligere utviklingsarbeid gjorde det mulig for ingeniørene å gjenopprette begge de virtuelle diskene fra webserverne med bare mindre skader.

Utvidelse av gjenopprettingen

Kommunen ba deretter om seks ytterligere applikasjonssikkerhetskopier som dekket programvare for rettsadministrasjon, geografiske informasjonssystemer og et meldingsarkiv.

Ingeniørene fant alle seks på den 24-disks Synologyen og fullførte uttrekket. Disse omfattet sikkerhetskopier av GIS-hosting, portal, SQL og web, i tillegg til sikkerhetskopiene for rettsadministrasjon og meldingsarkivering. Tre ble gjenopprettet fullstendig, og tre ble gjenopprettet med 99 % hver.

Gjenopprettingsresultater

Dataene ble levert i etapper etter hvert som gjenopprettingen skred frem, gjennom elektroniske overføringer og forsendte datalagringsenheter. Kommunen bekreftet at alle nødvendige data var vellykket gjenopprettet uten at det ble betalt løsepenger.

Gjenopprettede data

Resultat

Prioritert sikkerhetskopi av filserver

Omtrent 34 TB hentet ut

Sikkerhetskopi av tilgangskontroll

46 GB hentet ut

Sikkerhetskopi av tilgangskontroll

Gjenopprettet med bare mindre skader

Sikkerhetskopier av GIS-hosting, SQL og web

100 % av hver gjenopprettet

Sikkerhetskopier av GIS-portal, rettsadministrasjon og meldingsarkiv

99 % av hver gjenopprettet

Gjenopprettingsoppsummering

Veien til gjenoppretting gikk via sikkerhetskopidata som overlevde angrepet, men som ikke lenger var tilgjengelige gjennom vanlige gjenopprettingsmetoder. Å finne og hente ut disse dataene krevde arbeid på tvers av flere datalagringsplattformer, RAID-konfigurasjoner og filsystemer.

Ved å arbeide seg gjennom skadde sikkerhetskopisystemer og prioritere kommunens mest kritiske data gjenopprettet DriveSavers alt kunden hadde pekt ut som nødvendig, og gjorde kompromitterte sikkerhetskopier om til en vei videre etter angrepet.

Står du overfor en lignende situasjon? Ta kontakt med DriveSavers på 1 (888) 282-2227.

Andy Maus

Andy Maus er leder for strategiske partnerskap og tjenester for gjenoppretting etter cyberangrep hos DriveSavers, hvor han leder tiltak som hjelper organisasjoner med å gjenopprette kritiske data etter cyberhendelser, ransomware-angrep og andre sikkerhetsbrudd. Han begynte hos DriveSavers i 2023 etter mer enn to år hos Arete Incident Response, hvor han innførte datagjenopprettingstjenester i selskapets gjenopprettingsportefølje og etablerte strategiske allianser med SentinelOne, Dell og Presidio.
Tidligere, hos Ontrack Data Recovery, hadde han ansvaret for det globale salget og støttet komplekse datagjenopprettinger for kunder i 22 land. Med mer enn tre tiår i teknologibransjen – inkludert lederstillinger hos Dell, Mitel og Level 3 Communications – har Andy omfattende erfaring innen håndtering av cybersikkerhetshendelser, metoder for datagjenoppretting og tekniske operasjoner i stor skala.