Atak dotknął zarówno produkcyjnych systemów przechowywania danych, jak i kilku warstw kopii zapasowych. Maszyny wirtualne na macierzy Dell SAN zostały zaszyfrowane, a systemy przechowujące dane kopii zapasowych stwarzały różne przeszkody dla odzyskiwania danych.

Serwer Dell PowerEdge z oprogramowaniem Veeam pozostał dostępny, ale jego 20-terabajtowy wolumin kopii zapasowych nie dawał się normalnie otworzyć. Zdalna ocena wykazała, że około 33% woluminu zostało nadpisane zerami.

System TrueNAS z ośmioma dyskami, zawierający kopie zapasowe, po usunięciu zawartości wyświetlał pusty system plików. Synology z 24 dyskami zostało przywrócone do ustawień fabrycznych. Inny, osobny Synology zawierał ocalałe pliki kopii zapasowych Veeam, ale brakujące kluczowe komponenty uniemożliwiały pomyślne zaimportowanie.

Z uwagi na te różnorodne systemy gmina dysponowała wieloma potencjalnymi źródłami odzyskiwania, ale nie miała prostej drogi do przywrócenia swoich krytycznych danych. Inżynierowie musieli ustalić, co pozostało w bazowym systemie przechowywania danych i które źródła mogą dostarczyć kopie zapasowe potrzebne klientowi.