年5月29日，据CNET引述美国安全公司Flashpoint发布的报告称，根据对病毒附带的28种语言撰写的勒索信的文法分析研究，病毒制造者有可能是一名中文母语者，其中文版勒索信文法道地，而英文版有一些语法错误，其他语言版本则更像是借助Google翻译以机器翻译而得。在早前的5月16日，Google、卡巴斯基、闪点（Flashpoint）等多家安全公司的安全研究员曾发文认为，病毒的幕后黑手可能是源自朝鲜的“拉撒路组”（Lazarus Group）黑客组织，而据传该组织成员居于中国。但奇虎360和安天的安全工程