Имеет функцию распространения через autorun.inf, заражает сменные диски с буквами, отличными от A: и B. Об успешном заражении сообщает по IRC. Кроме того, BackDoor.IRC.Aryan.1 применяет еще один способ заражения сменных носителей информации: бот копирует себя на съемный диск, прячет обнаруженные в корневой директории файлы в созданную им папку, а вместо них помещает ярлыки, ссылающиеся как на спрятанный оригинальный файл, так и на саму вредоносную программу. Об успешном заражении сообщает по IRC.
Если бот был запущен со сменного носителя, он ищет и убивает процесс cmd.exe.
Копирует себя в %APPDATA%, устанавливает для копии атрибуты HRS. Прописывает этот файл в HKCU(HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
Постоянно проверяет наличие своего исполняемого файла на диске и при его отсутствии сохраняет себя из памяти (предварительно считав с диска). Одновременно следит за ключом автозапуска и при необходимости перезаписывает его.
Имеется процедура, которую бот пытается встроить в процессы csrss.exe, alg.exe, dwm.exe. В ее функции входит перезапуск троянца.
Основную полезную нагрузку пытается инжектить в explorer.exe, а в случае неудачи выполняет ее в отдельном треде.
Вредоносный функционал: способен загружать и запускать файлы, а также устраивать DoS-атаки по команде с IRC-сервера.
