Возможность восстановления зависит от архитектуры и сохранённой цепочки источников. Для файловой базы важны её неизменённая копия и прежние экземпляры. Для клиент-серверной системы восстановление на момент времени требует не просто текущего журнала СУБД: в PostgreSQL нужны пригодная базовая копия и цепочка WAL, в Microsoft SQL Server — согласованная последовательность резервных копий и журналов при подходящей модели восстановления.
До фиксации не восстанавливайте копию поверх рабочей базы, не перепроводите спорные документы, не запускайте закрытие периода, свёртку, удаление или тестирование с исправлением. Эти действия могут заменить текущее состояние и осложнить анализ. Сначала создают и проверяют исходную контрольную копию, затем работают с производными копиями.
Если вредоносное воздействие продолжается, немедленно привлеките специалиста по реагированию и действуйте по утверждённому плану. Не предпринимайте самостоятельных действий с питанием, очисткой или переустановкой: порядок зависит от характера угрозы и должен одновременно ограничить ущерб и сохранить следы. Происхождение и использование файлов исследуют в рамках компьютерно-технической экспертизы файлов и баз данных.