Gray Sandstorm (eski adıyla DEV-0343) bir Firefox tarayıcısını taklit ederek ve Tor ara sunucu ağında barındırılan IP’leri kullanarak kapsamlı parola püskürtme gerçekleştirir. Kurumun boyutuna bağlı olarak genellikle içindeki onlarca ve yüzlerce hesabı hedefler ve her hesabı onlarca ile binlerce kez numaralandırır. Her kuruma yönelik saldırılarda ortalama 150 ile 1.000’den fazla benzersiz Tor ara sunucu IP adresi kullanılır.

Gray Sandstorm operatörleri genellikle kullandıkları sabit listesi/parola spreyi aracının bir özelliği olarak iki Exchange uç noktası olan Otomatik Bulma ve ActiveSync’i hedefler. Bu, Gray Sandstorm’un etkin hesaplar ile şifreleri doğrulamasına ve parola spreyi etkinliklerini daha fazla geliştirmesine olanak tanır.