在不支付贖金的情況下復原關鍵的市政數據

10 月 21, 2026
Andy Maus
案例研究

在不支付贖金的情況下

復原關鍵的市政數據

客戶:
市政機構

Recovery Challenges:
Deleted backups, partial overwriting, factory reset, and file-system damage

成果:
成功復原十個備份數據集,包括一個34TB的檔案伺服器備份;另外六個應用程式備份的復原率達99–100%

一個市政機構面對勒索軟件的贖金要求:其生產環境的虛擬機器已被加密,多個備份系統亦遭入侵。本應提供還原途徑的備份,已被刪除、部分覆寫,或變得無法存取。要在不支付贖金的情況下復原該市政機構的關鍵數據,就必須在這套受損的備份基礎設施中,找出仍可使用的數據。

DriveSavers成功復原了一個34TB的檔案伺服器備份、門禁控制數據、兩個網頁伺服器虛擬磁盤,以及另外六個應用程式備份。該市政機構最終確認所有所需數據均已復原,令其無須向攻擊者支付贖金。

數據遺失情況

這次攻擊同時影響生產環境的數據存儲及多層備份。Dell SAN上的虛擬機器遭到加密,而存放備份數據的各個系統,則各自為復原工作帶來不同的障礙。

一部運行Veeam的Dell伺服器仍可存取,但其20TB的備份存儲卷無法正常開啟。遠端評估發現,該存儲卷約有33%的內容已被零覆寫。

一部配置八隻磁盤、存放備份副本的TrueNAS系統,在內容被刪除後,顯示出空白的文件系統。一部配置24隻磁盤的Synology已被還原至出廠設定。另一部Synology仍保留部分Veeam備份檔案,但因缺少部分組件,導致無法成功匯入。

該市政機構擁有多個潛在的復原來源,卻沒有一條直接途徑可還原其關鍵數據。工程師必須釐清底層數據存儲上還剩下什麼,以及哪些來源能夠提供客戶所需的備份。

復原流程

DriveSavers與該市政機構及其事故應變服務供應商共同檢視整個環境,識別哪些系統可以遠端評估,哪些則需要在實驗室進行

復原優先備份

已還原至出廠設定的Synology內含24隻磁盤,配置為兩個各12隻磁盤的RAID 6陣列。實驗室分析發現BTRFS文件系統受損,但經掃描後,仍找到該市政機構優先檔案伺服器及門禁控制系統的Veeam備份。

工程師提取了約34TB的檔案伺服器備份,以及46GB的門禁控制備份。

復原兩部網頁伺服器

該TrueNAS系統包含八隻磁盤,以RAID 5配置運行,並採用ZFS文件系統。經掃描後,找到兩個網頁伺服器備份,大小分別約為32GB及2.1GB。

透過額外的開發工作,工程師成功復原了兩個網頁伺服器的虛擬磁盤,僅出現輕微損壞。

擴大復原範圍

其後,該市政機構要求復原另外六個應用程式備份,涵蓋法庭管理軟件、地理資訊系統及一個訊息檔案庫。

工程師在配備24隻磁盤的Synology上找到全部六個備份,並完成提取。這些備份包括GIS寄存、入門網站、SQL及網頁備份,以及法庭管理和訊息歸檔備份。其中三個完整復原,另外三個各自復原了99%。

復原成果

隨著復原工作的進展,數據分階段透過電子傳輸及郵寄數據存儲設備交付。該市政機構確認,所有所需數據均已成功復原,而無須支付贖金。

已復原數據

結果

優先檔案伺服器備份

已提取約34TB

門禁控制備份

已提取46GB

門禁控制備份

復原,僅出現輕微損壞

GIS寄存、SQL及網頁備份

每項均100%復原

GIS入門網站、法庭管理及訊息歸檔備份

每項均99%復原

恢复摘要

復原的關鍵,在於那些在攻擊中倖存、卻已無法透過一般還原方法存取的備份數據。要找出並提取這些數據,必須橫跨多個數據存儲平台、RAID配置及文件系統展開工作。

DriveSavers在受損的備份系統中逐一排查,並優先處理該市政機構最關鍵的數據,成功復原客戶指明所需的一切數據,把遭破壞的備份轉化為攻擊事件後的出路。

正面對類似情況?請聯絡DriveSavers,電話:1 (888) 282-2227。

Andy Maus

安迪·毛斯（Andy Maus）現任 DriveSavers 策略合作夥伴關係暨網路復原服務負責人，負責領導各項計畫，協助組織在遭遇網路事件、勒索軟體攻擊及其他資安漏洞後，成功復原關鍵資料。他在 Arete Incident Response 任職逾兩年後，於 2023 年加入 DriveSavers；在 Arete Incident Response 期間，他將資料復原服務納入該公司的復原服務組合，並與 SentinelOne、戴爾（Dell）及 Presidio 建立了策略性合作關係。
此前，他在 Ontrack Data Recovery 負責統籌全球銷售業務，為遍及 22 個國家的客戶提供複雜資料復原支援。安迪在科技產業擁有超過三十年的資歷——曾於戴爾（Dell）、米泰爾（Mitel）及 Level 3 Communications 擔任領導職務——在網路安全事件應變、資料復原方法論及大規模技術營運方面具備深厚的經驗。