Gray Sandstorm (tidligere DEV-0343) udfører omfattende password-spraying ved at emulere en Firefox-browser og bruge IP-adresser, der er hostet på et Tor-proxynetværk. De retter sig typisk mod snesevis til hundredvis af konti i en organisation, afhængigt af størrelsen, og optæller hver konto fra snesevis til tusindvis af gange. I gennemsnit bruges mellem 150 og 1.000+ unikke Tor proxy IP-adresser i angreb mod hver organisation.

Gray Sandstorm-operatører går typisk efter to Exchange-slutpunkter - Autodiscover og ActiveSync – som en del af det værktøj til optælling/password spray som de bruger. Dette giver Gray Sandstorm mulighed for at validere aktive konti og adgangskoder og yderligere forfine deres aktivitet til password spray.