Återställning av kritisk kommunal data utan att betala lösen

oktober 21, 2026
Andy Maus
Fallstudier

Återställning av kritisk kommunal data

utan att betala lösen

Kund:
Kommun

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

Resultat:
Tio säkerhetskopieringsdatamängder återställda, inklusive en säkerhetskopia av en filserver på 34 TB; sex ytterligare applikationssäkerhetskopior återställda till 99–100 %

En kommun ställdes inför ett lösenkrav från en utpressningstrojan: dess virtuella produktionsmaskiner var krypterade och flera system för säkerhetskopiering var komprometterade. De säkerhetskopior som skulle ha gett en väg tillbaka hade raderats, delvis skrivits över eller gjorts oåtkomliga. Att återställa kommunens kritiska data utan att betala lösen krävde att användbar data hittades i den skadade infrastrukturen för säkerhetskopiering.

DriveSavers återställde en säkerhetskopia av en filserver på 34 TB, åtkomstkontrolldata, två virtuella diskar från webbservrar och sex ytterligare applikationssäkerhetskopior. Kommunen bekräftade till slut att all nödvändig data hade återställts, vilket gav ett alternativ till att betala angriparna.

Situationen kring dataförlusten

Attacken drabbade både datalagringen för produktion och flera lager av säkerhetskopior. Virtuella maskiner på ett Dell SAN krypterades, medan systemen som innehöll säkerhetskopieringsdata hade olika hinder för återställning.

En Dell-server som körde Veeam förblev åtkomlig, men dess säkerhetskopieringsvolym på 20 TB gick inte att öppna på vanligt sätt. Fjärrutvärderingen visade att cirka 33 % av volymen hade skrivits över med nollor.

Ett TrueNAS-system med åtta diskar som innehöll säkerhetskopior visade ett tomt filsystem efter att dess innehåll raderats. En Synology med 24 diskar hade återställts till fabriksinställningar. En annan Synology innehöll kvarvarande Veeam-säkerhetskopior, men saknade komponenter förhindrade lyckade importer.

Kommunen hade flera potentiella återställningskällor men ingen enkel väg till att återställa sin kritiska data. Ingenjörerna behövde avgöra vad som fanns kvar på den underliggande datalagringen och vilka källor som kunde ge de säkerhetskopior kunden behövde.

Återställningsprocessen

DriveSavers gick igenom miljön tillsammans med kommunen och dess incidenthanteringsleverantör och identifierade vilka system som kunde utvärderas på distans och vilka som krävde undersökning i laboratorium. Kommunen fastställde sina prioriteringar så att ingenjörerna först kunde fokusera på de viktigaste datamängderna.

Återställning av de prioriterade säkerhetskopiorna

Den Synology som hade återställts till fabriksinställningar innehöll 24 diskar konfigurerade som två RAID 6-arrayer med 12 diskar vardera. Laboratorieanalysen identifierade skador på BTRFS-filsystemet, men skanningar hittade Veeam-säkerhetskopior av kommunens prioriterade filserver och åtkomstkontrollsystem.

Ingenjörerna extraherade filserverns säkerhetskopia på cirka 34 TB och åtkomstkontrollens säkerhetskopia på 46 GB.

Återställning av två webbservrar

TrueNAS-systemet innehöll åtta diskar i en RAID 5-konfiguration med filsystemet ZFS. Skanningar hittade två säkerhetskopior av webbservrar på cirka 32 GB och 2,1 GB.

Ytterligare utvecklingsarbete gjorde det möjligt för ingenjörerna att återställa båda webbservrarnas virtuella diskar med endast mindre skador.

Utvidgning av återställningen

Kommunen begärde därefter sex ytterligare applikationssäkerhetskopior som omfattade programvara för domstolsadministration, geografiska informationssystem och ett meddelandearkiv.

Ingenjörerna hittade alla sex på den 24-diskars Synologyn och slutförde extraheringen. Dessa omfattade säkerhetskopior av GIS-hosting, portal, SQL och webb, samt säkerhetskopiorna för domstolsadministration och meddelandearkivering. Tre återställdes fullständigt och tre återställdes till 99 % vardera.

Återställningsresultat

Datan levererades i etapper allteftersom återställningen framskred, genom elektroniska överföringar och skickade datalagringsenheter. Kommunen bekräftade att all nödvändig data hade återställts utan att något lösen betalats.

Återställd data

Resultat

Prioriterad säkerhetskopia av filserver

Cirka 34 TB extraherat

Säkerhetskopia av åtkomstkontroll

46 GB extraherat

Säkerhetskopia av åtkomstkontroll

Återställda med endast mindre skador

Säkerhetskopior av GIS-hosting, SQL och webb

100 % av varje återställd

Sikkerhetskopier av GIS-portal, rettsadministrasjon og meldingsarkiv

99 % av varje återställd

Återställningsöversikt

Vägen till återställning gick via säkerhetskopieringsdata som överlevde attacken men som inte längre var åtkomliga med vanliga återställningsmetoder. Att hitta och extrahera denna data krävde arbete över flera datalagringsplattformar, RAID-konfigurationer och filsystem.

Genom att arbeta sig igenom skadade system för säkerhetskopiering och prioritera kommunens mest kritiska data återställde DriveSavers allt som kunden identifierat som nödvändigt och förvandlade komprometterade säkerhetskopior till en väg framåt efter attacken.

Befinner du dig i en liknande situation? Kontakta DriveSavers på 1 (888) 282-2227.

Andy Maus

Andy Maus är chef för strategiska partnerskap och cyberåterställningstjänster på DriveSavers, där han leder initiativ som hjälper organisationer att återställa kritiska data efter cyberincidenter, ransomware-attacker och andra säkerhetsöverträdelser. Han började på DriveSavers 2023 efter mer än två år på Arete Incident Response, där han införde dataräddningstjänster i företagets återställningsportfölj och byggde upp strategiska samarbeten med SentinelOne, Dell och Presidio.
Tidigare, på Ontrack Data Recovery, ansvarade han för den globala försäljningen och stödde komplexa dataåterställningar för kunder i 22 länder. Med mer än tre decennier inom teknikbranschen – däribland ledande befattningar hos Dell, Mitel och Level 3 Communications – har Andy omfattande erfarenhet av hantering av cyberincidenter, metoder för dataåterställning och storskaliga tekniska verksamheter.