Investigația arată că atacatorii din spatele acestei operațiuni s-au pregătit pentru ea cel puțin din luna iulie 2017, organizând rețeaua de infectare pe site-urile atacate, care sunt în principal resurse de informare media.