Το Grey Sandstorm (πρώην DEV-0343) πραγματοποιεί εκτεταμένο password spraying προσομοιώνοντας ένα πρόγραμμα περιήγησης Firefox και χρησιμοποιώντας IP που φιλοξενούνται σε ένα δίκτυο διακομιστή μεσολάβησης Tor. Συνήθως στοχεύουν δεκάδες έως εκατοντάδες λογαριασμούς σε έναν οργανισμό, ανάλογα με το μέγεθος, και απαριθμούν κάθε λογαριασμό από δεκάδες έως χιλιάδες φορές. Κατά μέσο όρο, από 150 έως 1.000+ μοναδικές διευθύνσεις IP μεσολάβησης Tor χρησιμοποιούνται σε επιθέσεις εναντίον κάθε οργανισμού.

Οι χειριστές του Gray Sandstorm στοχεύουν συνήθως δύο τελικά σημεία Exchange – Autodiscover και ActiveSync – ως χαρακτηριστικό του εργαλείου απαρίθμησης/password spray που χρησιμοποιούν. Αυτό επιτρέπει στο Gray Sandstorm να επικυρώνει ενεργούς λογαριασμούς και κωδικούς πρόσβασης και να βελτιώνει περαιτέρω τη δραστηριότητα password spray.