hpoint发布的报告称，根据对病毒附带的28种语言撰写的勒索信的文法分析研究，病毒制造者有可能是一名中文母语者，其中文版勒索信文法道地，而英文版有一些语法错误，其他语言版本则更像是借助Google翻译以机器翻译而得。在早前的5月16日，Google、卡巴斯基、闪点（Flashpoint）等多家安全公司的安全研究员曾发文认为，病毒的幕后黑手可能是源自朝鲜的“拉撒路组”（Lazarus Group）黑客组织，而据传该组织成员居于中国。但奇虎360和安天的安全工程师认为闪点网络情报公司仅以语言判断是十分不专业的