צוות מחקר הסייבר של חברת רדוור, העמל מאז פרוץ מתקפת הסייבר העולמית שלשום על ניתוח הנוזקה, מצביע על מספר מאפיינים המצביעים על האפשרות כי מטרתה לא היתה כופר, אלא גרימת נזק משמעותי ע"י מניעת גישה למידע רגיש.
כדי להשיג זאת, התבססו החוקרים על תוכנת כופר ייחודית בשם PETYA שנפוצה ב- 2016 (ונחתמה מאז – כלומר קיימת הגנה נגדה), ומכאן הבלבול שגרם לסיווגה של המתקפה כמתקפת כופר. בעוד רוב תוכנות הכופר מצפינות בצים ודורשות תשלום עבור שחרורם, PETYA משלטת על אתחול המחשב כך שלא ניתן להפעיל אותו כלל (אלא, לכאורה, לאחר התשלום). אם מסיבה כלשהי לא הצליחה להשתלט על מנגנון האתחול (MBR), יש לה רכיב נוסף שמאפשר להצפין את הקבצים (נקרא Mischa).
היכולת של PETYA להשתלט על מנגנון האתחול ובכך למנוע גישה למידע על המחשב (או השרת), היא שקרצה לתוקפים והם השתמשו בה כדי לגרום לאובדן מידע מסיבי בקרב קורבנותיהם.
אינדיקציה נוספת לכך היא העובדה כי הסכום שגויס במתקפה הוא זניח, ותהליך התשלום בה הוא פשוט ופרוץ יחסית לעומת כאלו שפושעי כופר וירטואלי מתוחכמים נוהגים להשתמש בהם (לדוגמא, השתמשו בחשבון מייל ציבורי שמיד נחסם). התוקפים שידרגו יכולות אלו עם מנגנון הפצה פנימי (כלומר בתוך הרשת הארגונית) מתוחכם שמתבסס גם (אך לא רק – כפי שנאמר בדיווחים קודמים) על ניצול החולשה בפרוטוקול מיקרוסופט SMB כמו בקמפיין הכופר WANNACRY בחודש שעבר, וגם על השגת הרשאות ניהול לכלים אדמיניסטרטיביים של ווינדוז, אשר באמצעותם היא סורקת את הרשת כדי לאתר מחשבים פגיעים נוספים, אותם היא מדביקה מיד.
עדיין ישנם ספקות לגבי מקור המתקפה והדרך בה היא הופצה. האמונה הרווחת היא שמדובר בניצול עדכון גרסה של תוכנת ניהול חשבונות בשם ‘MeDoc’ אותה מפתחת חברה אוקראינית, ומי שמעדכן את התוכנה נפגע בעת עדכון הגירסא. התוכנה הזו נפוצה באוקראינה ורוסיה. חברת התוכנה שמייצרת את MeDoc דוחה את הטענות, למרות שקיימות ראיות המאששות אותן. ובכל זאת, עדיין לא ברור כיצד הופצה המתקפה גם במערב. קיימת סברה שהתוכנה עברה מארגון לארגון וממדינה למדינה דרך אימייל אולם יש עדיין לאשש או להפריך אותה, ועל כך עמלים חוקרי הסייבר בעולם ברגעים אלו.