rule BazarLoader {
	meta:
		author = "muzi"
		description = "Identifies BazarLoader."
		date = "02/18/22"
	strings:
		$xor_hash = { C7 4? [2-4] ?? ?? ?? ?? C7 4? [2-4] ?? ?? ?? ?? [10-30] 35 }
		$xor_reg = { BA ?? ?? ?? ?? C7 4? [2-4] ?? ?? ?? ?? C7 4? [2-4] ?? ?? ?? ?? [10-30] 33 C2 }
	condition:
		uint16be(0) == 0x4D5A and #xor_hash > 5 and #xor_reg > 5
}