Los expertos de seguridad informática creen que el ataque se originó a partir de una actualización de un paquete de contabilidad ucraniano desarrollado por Intellect Service, llamado MeDoc.

Este programa era ampliamente utilizado entre contables de impuestos en Ucrania, y el software era la opción principal para contabilidad para varios negocios ucranianos.

Según Mikko Hyppönen, un experto de seguridad de F-Secure. MeDoc tenía aproximadamente 400.000 clientes a lo largo de Ucrania, representando aproximadamente 90% de las empresas domésticas del país. Previo al ataque, el software estaba instalado en cerca de un millón de ordenadores en Ucrania.^[12]​^[13]​

El programa proporciona actualizaciones periódicas a su programa a través de un servidor de actualización, por lo que el 27 de junio de 2017, el día del ataque, una actualización para MeDoc fue enviada por el servidor de actualización, tras lo cual empezó el ataque del ransomware.

El experto en malware británico Marcus Hutchins, reclamó:

Parece ser que el sistema de actualización automático del software fue infectado y utilizado para descargar y ejecutar malware en vez de actualizaciones para el software

It appears that the software's automatic update system was infected and used to download and run malware instead of software updates

Intellect Services afirmó no haber tenido involucración alguna en el ataque del ransomware, puesto que sus oficinas fueron también afectadas, y estaban cooperando con el gobierno para rastrear el origen del ataque.^[14]​ 

Un ataque similar a través del software MeDoc se llevó a cabo el 18 de mayo de 2017 con un ransomware llamado XData. Centenares de departamentos de contabilidad se vieron afectados en Ucrania.^[15]​

El ciberataque se basó en una versión modificada del ransomware Petya llamado NotPetya, y el cual era similar al ataque del ransomware WannaCry en mayo de 2017.

El malware utiliza el exploit EternalBlue creado por la NSA, que había sido anteriormente descubierto en versiones más viejas del sistema operativo Windows.

Cuando Petya es ejecutado, fuerza al ordenador a reiniciarse con una pantalla BSoD y minutos más tarde, muestra un falso CHKDSK (Mientras el falso proceso esta en funcionamiento, el virus cifra la Tabla Maestra de Archivos del disco duro y el MBR).

Luego de ese falso CHKDSK, se desplegará una pantalla parpadeante con una calavera con el texto “PRESS ANY KEY!” y, finalmente mostrando el mensaje de rescate (En el cual se dice que sus archivos están ahora cifrados y debe transferir 300 dólares estadounidenses en bitcoin a una de sus tres carteras y así recibir instrucciones para poder descifrar los archivos.)

Al mismo tiempo, el software explota una vulnerabilidad del protocolo SMB en Windows para infectar ordenadores locales que esten conectado a la misma red del ordenador comprometido.

El exploit EternalBlue había sido anteriormente identificado, y Microsoft emitió parches en marzo de 2017 para acabar con el exploit en las versiones de Windows Vista, Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012, y Windows Server 2016.

No obstante, el ataque WannaCry infectó muchos sistemas que todavía usaban antiguos sistemas operativos Windows o versiones tempranas de los sistemas operativos más nuevos que todavía poseían el exploit, o aquellos en los que los usuarios no habían seguido los pasos apropiados para descargar el parche. Microsoft emitió nuevos parches para Windows XP y Windows Server 2003 así como versiones anteriores de los otros sistemas operativos el día siguiente al ataque del WannaCry. Lesley Carhart, experto de seguridad, declaró que "cada método de explotación que el ataque utilizó para propagarse podía haberse prevenido con la documentación adecuada".^[16]​

Expertos de seguridad habían descubierto que la versión de Petya utilizado en los ciberataques en Ucrania había sido modificado, por lo que fue denominado NotPetya o Nyetna para distinguirlo del malware original. NotPetya cifró todo los archivos de los ordenadores infectados, no solo la Tabla Maestra de Archivos, y en algunos casos dichos archivos fueron completamente eliminados o reescritos de forma tal que no podían ser revertidos los cambios.^[17]​^[18]​ Algunos expertos de seguridad observaron que el software podía interceptar contraseñas y realizar acciones sin necesidad de permisos del administrador que podrían dañar completamente los archivos del ordenador. También notaron que el software podía identificar ordenadores concretos e infectarlos, sugiriendo que el ataque era más preciso en sus objetivos. Todavía falta por descubrir un "interruptor de apagado", como el que tenía WannaCry, que parase inmediatamente la propagación.^[19]​ Según Nicholas Weaver de la Universidad de California, los piratas informáticos primero debieron haber infectado MeDoc convirtiéndolo en una especie de troyano de control remoto para luego iniciar los ataques.