Зодиак исполняется на рабочих станциях под повышенными привиллегиями и может вызывать срабатывание антивируса. На текущий момент о случаях срабатывания антивируса на сам агент неизвестно.
Агент Зодиак устанавливается в папку C:\Program Files\Zodiac\Agent и регистрирует процесс zodiac.exe в качестве службы от имени Local System.
Агент скачивает и устанавливает ПО из подпапок директории C:\windows\zocache. Скрипты (например, powershell, vbs) скачиваются и исполняются из папки C:\windows\zoscrwd.
Утилита миграции операционных систем MigrationTool.exe распространяется как пакет Зодиак и доставляется агентом в C:\windows\zocache. Для начала установки новой ОС по сети утилита монтирует системный раздел в диск S: (с помощью mountvol), копирует в него загрузчики (grub, syslinux, ipxe) и добавляет запись в системный загрузчик Windows, после чего инициирует перезагрузку. Для загрузки по сети используется загрузчик ipxe, в который передается управление из GRUB (UEFI) или из syslinux (для BIOS).
Файлы и папки, которые могут вызвать срабатывание антивируса:
C:\Program Files\Zodiac\Agent\zodiac.exeC:\windows\zocache\*C:\windows\zoscrwd\*S:\* (только для АРМ, на которых планируется запуск утилиты миграции)