فایل هایی که در درایو سیستم قرار داشتند :
فایل هایی که در مسیرهای مهم (از نظر نویسندگان باج افزار) مثل دسکتاپ یا documents قرار داشتن قابل بازیابی نیستند
اما فایل هایی که خارج از این دایرکتوری ها قرار داشتند، قبل از پاک شدن یک نسخه اصلیشون به مسیر %TEMP%\%d.WNCRYT منتقل میشده است! بنابراین با استفاده از نرم افزارهای ریکاوری قابل بازیابی خواهند بود
فایل هایی که در سایر درایورها قرار داشتند :
در سایر درایوها باج افزار بعد از رمز کردن فایل ها، نسخه های اصلی فایل رو به یک پوشه موقتی به نام $RECYCLE که hidden هم هست منتقل میکند (به دلیل برخی مشکلات در کد این باج افزار اکثرا این انتقال انجام نشده و فایلها در همان مسیر اصلی باقی میمانند) . در نهایت باز هم با استفاده از برنامه های ریکاوری شانس بازیابی فایل های اصلی بسیار بالاست
فایل های Read-only
این باج افزار نسبت به رمز کردن این قبیل فایل ها هم دارای ضعف هست. این باج افزار در صورت مواجه با چنین فایل هایی فقط یک نسخه رمز شده از آنها را در مسیر قرار میدهد و فایل های اصلی را hidden میکند !