Nagađa se da su autori ovog napada iz ruskog govornog područja, na što navode imena varijabli u kodu, kao i činjenica da trojanac aktivira kodnu stranicu za čirilicu (naredba chcp 1251), no stručnjaci su oprezni jer to može biti i metoda zavaravanja.