Если идёт атака, первым делом изолируйте сервер: отключите его от сети, а облачный сервер закройте правилами сетевого доступа. Выключать его обычно не стоит — теряется содержимое памяти. Изоляция не останавливает шифрование, которое уже идёт на самом сервере: процесс сразу приостанавливают, а не завершают, виртуальную машину приостанавливают с сохранением памяти, а если это не удаётся, сервер сразу выключают. Хранилище резервных копий отключите от заражённой сети и найдите ключи восстановления шифрования дисков.
Дальше сохраняйте источники, пока восстанавливаете работу: ведите журнал своих действий с точным временем, выгрузите журналы систем и контроллеров и посчитайте контрольные суммы файлов, отключите автоматическое удаление старых резервных копий. Если массив ещё читается, сначала снимите копии, если не собирается — ничего не перестраивайте и не меняйте диски местами. Выключенный сервер без специалиста не включайте. Арендованный сервер — повод в первые дни письменно попросить провайдера сохранить журналы.
Порядок согласуйте со своим администратором или командой реагирования на инциденты, а если под подозрением сам администратор — с независимой. Экспертиза потом установит факты, но срочную помощь не заменяет.