사이버보안 연구소인 ReasonLabs는 토렌트를 통해 인기 게임들에 포함된 형태로 인스톨러를 배포, 피해자의 PC에 크롬 웹 스토어에서 악성 VPN을 다운로드하는 방식으로 동작한다.

이런 식으로 배포된 것이 확인된 악성 VPN은 사용자가 1백만면이 넘는 etPlus을 포함해 추가로 50만회 설치된 netSave, netWin 세 가지로, 설치 초기에는 정상적인 VPN 처럼 보이기 위해 구독제 옵션을 제공하기도 했다.

하지만 이들 악성 VPN은 설치 이후 오프스크린 권한을 요구하며, 이를 통해 웹 페이지의 현재 DOM에 대한 포괄적인 액세스 권한을 얻어 개인 정보를 훔치고, 브라우저를 하이재킹하고 웹 요청을 조작하며, 다른 확장 프로그램을 자동으로 비활성화하며, 감염된 PC의 캐시백 확장 기능을 비활성화하고 수익을 가로채기도 했다.