黑客將木馬程序偽裝成一封與目標用戶相關的電子郵件附件，比如工資報告單，誘使目標用戶打開附件，從而控制電腦服務器。

接著，黑客又開啟了一輪規模較大的水坑攻擊：

黑客潛入目標機構的官方網站或目標用戶經常訪問的網站，替換正常文件。一旦用戶訪問該網站并下載此類文件，電腦服務器就會被植入特種木馬。

汪列軍還發現，在網絡攻擊的過程中，黑客至少使用了4套不同類型的病毒代碼，相關服務器IP地址19個，惡意服務器遍布全球13個國家。

汪列軍對看看新聞Knews記者表示：“從它資源的可得程度來看，這個黑客組織肯定是有國家支持的，專門對其他國家進行類似間諜活動的網絡攻擊組織。 ”

2015年，天眼實驗室發布APT（Advanced Persistent Threat）——高級持續性威脅報告，將該黑客組織命名為“海蓮花”。

“海蓮花”攻擊仍未停止，國防安全敲響警鐘

報告顯示，在國內，與該組織相關的木馬最早被截獲于2012年。

在早期，“海蓮花”組織的網絡攻擊并不活躍。但是， 2014年底，“海蓮花”開始運用云控技術進行網絡攻擊，采用包括文件偽裝、隨機加密和自我銷毀等一系列復雜的攻擊技術與安全軟件進行對抗，其攻擊的危險性、木馬識別查殺的難度都大大增強。