Britiske nasjonale nettvernstryggheita sentral (NCSC) leidde den internasjonale etterforskinga. Tryggheita kjelder har sagt til BBC at NCSC trur at ein hacking gruppe kjent som Lazarus lanserte angrepet. Den amerikanske Computer Emergency Response Team har òg advart om Lazarus. Den same gruppa er tru til å ha hatt som mål Sony Pictures i 2014. Sony hack kom då selskapet hadde tenkt å släppa filmen The Interview, ein satire om den nordkoreanske leiarskapen med Seth Rogen i hovedrollen. Det er òg truast at same gruppa står bak tyveriet av pengar frå bankane. I mai, ransomware kalla WannaCry sveipte over heile verda, låste opp datamaskiner og krevde betaling for å opna dei. NHS i Storbritannia vart særleg hardt ramma. Offiserar i Storbritannias National Cyber Security Centre (NCSC) byrja sin eigen etterforskning og avslutta vurderinga si i siste veker. Ransomware-programmen var ikkje spesielt rettet mot Storbritannia eller NHS, og kan ha vore eit pengar-scam som kom ut av kontroll, særleg sidan hackarane ikkje ser ut til å ha hent tilbake løysepengane enno. Sjølv om gruppa har sitt sete i Nord-Korea, er den nøyaktige rollen til leiarskapet i Pyongyang i å bestella angrepet mindre klar. Adrian Nish, som leier IT-teamet for IT-trugningar ved BAE Systems, såg overlag med tidlegare kode utvikla av Lazarus-gruppen. "Det ser ut til å knyta seg tilbake til same kodebase og same forfattarar", seier Nish. "Kodeoverlagene er betydelege". Forskarar i den privata sektoren som forskar i nettvernssikkerheit, reverserte koden, men den britiske vurderinga av NCSC - som er ein del av etterretningsbyrået GCHQ - er sannsynleg at han har gjort det basert på eit større sett med kjelder. NSA i USA har også nyleg gjort tilknytinga til Nord-Korea, men vurderinga er ikkje tenkt å ha vore basert på så grundig etterforskning som Storbritannia, delvis fordi USA ikkje var så hardt ramma av hendinga. Offisielle seier at dei ikkje har sett noko viktig bevis som støttar andre mulige skuldarar. Nordkoreanske hackarar har vore knytt til pengemakingshåp i fortiden - som tyveriet av 81 millionar dollar frå sentralbanken i Bangladesh i 2016. Dette sofistikerte angrepet involverte overføringar gjennom Swift-betalingssystemet som i nokre tilfelle vart vaska gjennom kasinoar i Filippinane. "Det var ein av dei største bankrøva gjennom tidene i fysisk rom eller i nett-rom", seier Nish, som seier at det har vore meir aktivitet i banker i Polen og Mexico. Lazarus-gruppen har òg vorte knytt til bruk av ransomware - inkludert mot ein sørkoreansk supermarkedskjede. Andre analytikarar seier at dei såg teikn på at Nord-Korea undersøkte betalingsmetoden bitcoin dei siste månadene. Angrepet i mai 2017 var vilkårleg i staden for målrett. Spreiden var global og kan ha blitt sakte takket vera arbeidet til ein britisk forskar som kunne finne ein "døperknapp" for å sakte det. Angrepet førte til store forstyrringar på kort sikt, men det kan òg ha vore eit strategisk mislykk for gruppa bak det. Forskarar ved Elliptic, eit britiske selskap som sporar bitcoin-betalingar, seier at dei ikkje har sett at det har vorte trekk frå lommebøkene som pengane vart betalte inn i, sjølv om folk framleis betaler til dei. Dei som stod bak angrepet, kunne ikkje ha venta at det skulle spreia seg så raskt. Då dei skjøna at handlingen deira hadde fått stor oppmerksomhet over heile verda, kan det ha vore for stor risiko for å flytte pengane, sidan det var relativt lite som involverte dei, og dei hadde så lite å seie for arbeidet deira.
Britiske sikkerhetstilsynar trur at hackarar i Nord-Korea stod bak nettangrepet som skadde deler av NHS og andre organisasjonar over heile verda i fjor,