黑客将木马程序伪装成一封与目标用户相关的电子邮件附件，比如工资报告单，诱使目标用户打开附件，从而控制电脑服务器。

接着，黑客又开启了一轮规模较大的水坑攻击：

黑客潜入目标机构的官方网站或目标用户经常访问的网站，替换正常文件。一旦用户访问该网站并下载此类文件，电脑服务器就会被植入特种木马。

汪列军还发现，在网络攻击的过程中，黑客至少使用了4套不同类型的病毒代码，相关服务器IP地址19个，恶意服务器遍布全球13个国家。

汪列军对看看新闻Knews记者表示：“从它资源的可得程度来看，这个黑客组织肯定是有国家支持的，专门对其他国家进行类似间谍活动的网络攻击组织。 ”

2015年，天眼实验室发布APT（Advanced Persistent Threat）——高级持续性威胁报告，将该黑客组织命名为“海莲花”。

“海莲花”攻击仍未停止，国防安全敲响警钟

报告显示，在国内，与该组织相关的木马最早被截获于2012年。

在早期，“海莲花”组织的网络攻击并不活跃。但是， 2014年底，“海莲花”开始运用云控技术进行网络攻击，采用包括文件伪装、随机加密和自我销毁等一系列复杂的攻击技术与安全软件进行对抗，其攻击的危险性、木马识别查杀的难度都大大增强。