Na zaatakowanym komputerze program ustawiał tapetę oraz wyświetlał okno, oba informujące o ataku i żądaniu okupu. Okup wynosił wówczas około 300 dolarów w bitcoinach za każdą zainfekowaną stację. Hakerzy stosowali przy tym socjotechnikę polegającą na zastraszeniu – cena miała dwukrotnie wzrosnąć po trzech dobach, a po upływie tygodnia odzyskanie danych miało stać się niemożliwe.
Sprawcy podawali trzy różne adresy tzw. portfeli kryptowalut:
https://blockchain.info/address/115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn https://blockchain.info/address/12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw https://blockchain.info/address/13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94
Zasięg Ze względu na zastosowane techniki problem ograniczał się do sieci, w których znajdowały się komputery z systemem Microsoft Windows.
Media donosiły, że w maju 2017 roku zainfekowane zostały komputery w co najmniej 99 krajach. Firmy produkujące oprogramowanie antywirusowe raportowały dokładniejsze dane: Kaspersky raportował 45 tysięcy infekcji w 74 krajach, a Avast odnalazł 57 tysięcy infekcji w 28 językach, z pierwszą infekcją odnotowaną ok. 8 rano 12 maja 2017 roku.