Bylo zjištěno, že aktéři hrozby Crimson Sandstorm (dříve CURIUM) využívají síť fiktivních účtů na sociálních sítích k budování důvěry u cílů a k šíření malwaru, který slouží k exfiltraci dat. V roce 2021 navíc aktéři hrozby Crimson Sandstorm uskutečnili spear-phishingovou kampaň zaměřenou na společnosti, které poskytují IT a technické služby americkým obranným a zpravodajským agenturám, aby pravděpodobně jako součást dodavatelského řetězce získali přístup k zákazníkům těchto společností.