Как грамотно уведомить владельца сайта о наличии уязвимости?

Тут тоже рассуждают на эту тему. Думаю, Вам будет интересно.

Как проводилась атака (вирус WCry)?

445 порт просто никогда, никто, не будет светить наружу

Ошибаетесь
https://www.shodan.io/search?query=%2B%22200%22+po...
До атаки таких машин было гораздо больше. Сейчас, возможно, большинство из оставшихся - ловушки (honeypots).