Trong bài đăng ngày 15/5,ãđộctốngtiềnWannaCrycóliênhệgìvớiTriềuTiêman utd – nottm forest Kaspersky Lab nêu chi tiết một đoạn mã dùng trong biến thể ban đầu của WannaCry từ tháng 2/2017 và một mẫu tháng 2/2015 thuộc Lazarus, tổ chức mà Kaspersky cho rằng có dính líu đến chính phủ Triều Tiên. Sự trùng lặp được chuyên gia Neal Mehta của Google nhận thấy đầu tiên và Kaspersky tin sự tương đồng còn vượt cả đoạn mã chung.

“Chúng tôi tin tưởng mạnh mẽ đoạn mã tháng 2/2017 được soạn bởi cùng một người hoặc bởi những người có quyền truy cập vào cùng đoạn mã nguồn với bộ mã hóa WannaCry tháng 5/2017 được dùng trong đợt tấn công ngày 11/5”.