Bei direkten Serverangriffen, z. B. Datenbank, hat es sich immer bewährt, umgehend den Inhalt zu löschen und das Angegriffene erst gar nicht zu sichern. Danach wird mit einem früheren Backup rückgespielt.
Das erste, woran ich bei einem unbefugten Zugriff auf einen FTP-Server denke, ist...