Gray Sandstorm (ranije DEV-0343) sprovodi opsežne napade putem rasejavanja lozinke tako što oponaša veb pregledač Firefox i koristi IP adrese koje se hostuju na Tor proksi mreži. Ovaj akter usmerava napade na više desetina do više stotina naloga unutar organizacije, u zavisnosti od veličine, i svaki od tih naloga nabraja od više desetina do više hiljada puta. U proseku, u napadima na svaku organizaciju koristi se od 150 do preko 1.000 jedinstvenih Tor proksi IP adresa.
Operatori grupe Gray Sandstorm obično usmeravaju napad na dve Exchange krajnje tačke – Automatsko otkrivanje i ActiveSync – kao karakteristike alatke za nabrajanje/rasejavanje lozinke koju koriste. To omogućava akteru Gray Sandstorm da potvrdi aktivne naloge i lozinke i dodatno precizira aktivnost rasejavanja lozinke.