Sigma rule: Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 4
A detection rule from the SigmaHQ repository, shown as its author published it. Dataset version ref-742601524513, updated 2022-12-05T00:00:00.000Z.
Rule
- Title
- Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 4
- Status
- test
- Level
- high
- Author
- @Kostastsale, TheDFIRReport
- Date
- 2022-12-05
- File
- rules/windows/process_creation/proc_creation_win_susp_emoji_usage_in_cli_4.yml
- Commit
- ccbb0369507f796db0b0ae6854c8a2be471b9d84
Detects the usage of emojis in the command line, this could be a sign of potential defense evasion activity.
Log source
- product
- windows
- category
- process_creation
Detection
selection:
CommandLine|contains:
- '๐ธ'
- '๐น'
- '๐ถ'
- '๐ท'
- '๐ณ'
- '๐ฒ'
- 'โช๏ธ'
- 'โซ๏ธ'
- 'โพ๏ธ'
- 'โฝ๏ธ'
- 'โผ๏ธ'
- 'โป๏ธ'
- '๐ฅ'
- '๐ง'
- '๐จ'
- '๐ฉ'
- '๐ฆ'
- '๐ช'
- 'โฌ๏ธ'
- 'โฌ๏ธ'
- '๐ซ'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐ฃ'
- '๐ข'
- '๐โ๐จ'
- '๐ฌ'
- '๐ญ'
- '๐ฏ'
- 'โ ๏ธ'
- 'โฃ๏ธ'
- 'โฅ๏ธ'
- 'โฆ๏ธ'
- '๐'
- '๐ด'
- '๐๏ธ'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐ '
- '๐ก'
- '๐ข'
- '๐ฃ'
- '๐ค'
- '๐ฅ'
- '๐ฆ'
- '๐งโข'
- 'โฃ'
- 'โค'
- 'โฅ'
- 'โฆ'
- 'โง'
- 'โ
'
- 'โ'
- 'โฏ'
- 'โก๏ธ'
- 'โฉ'
- 'โช'
- 'โซ'
- 'โฌ'
- 'โญ'
- 'โฎ'
- 'โถ'
- 'โท'
- 'โต'
- 'โธ'
- 'โน'
- 'โ'
- 'โ'
- 'โน'
- 'โจ'
- 'โพ'
- 'โพ'
- 'โข'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ ๏ธ'
- 'โฃ๏ธ'
- 'โฅ๏ธ'
- 'โฆ๏ธ'
- 'โค'
- 'โง'
- 'โก'
- 'โข'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ
'
- '๐ '
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐
'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐๐ณ๏ธ'
- '๐ด'
- '๐'
- '๐ฉ'
- '๐ณ๏ธโ๐'
- '๐ณ๏ธโโง๏ธ'
- '๐ดโโ ๏ธ'
- '๐ฆ๐ซ'
- '๐ฆ๐ฝ'
- '๐ฆ๐ฑ'
- '๐ฉ๐ฟ'
- '๐ฆ๐ธ'
- '๐ฆ๐ฉ'
- '๐ฆ๐ด'
- '๐ฆ๐ฎ'
- '๐ฆ๐ถ'
- '๐ฆ๐ฌ'
- '๐ฆ๐ท'
- '๐ฆ๐ฒ'
- '๐ฆ๐ผ'
- '๐ฆ๐บ'
- '๐ฆ๐น'
- '๐ฆ๐ฟ'
- '๐ง๐ธ'
- '๐ง๐ญ'
- '๐ง๐ฉ'
- '๐ง๐ง'
- '๐ง๐พ'
- '๐ง๐ช'
- '๐ง๐ฟ'
- '๐ง๐ฏ'
- '๐ง๐ฒ'
- '๐ง๐น'
- '๐ง๐ด'
- '๐ง๐ฆ'
- '๐ง๐ผ'
- '๐ง๐ท'
- '๐ฎ๐ด'
- '๐ป๐ฌ'
- '๐ง๐ณ'
- '๐ง๐ฌ'
- '๐ง๐ซ'
- '๐ง๐ฎ'
- '๐ฐ๐ญ'
- '๐จ๐ฒ'
- '๐จ๐ฆ'
- '๐ฎ๐จ'
- '๐จ๐ป'
- '๐ง๐ถ'
- '๐ฐ๐พ'
- '๐จ๐ซ'
- '๐น๐ฉ'
- '๐จ๐ฑ'
- '๐จ๐ณ'
- '๐จ๐ฝ'
- '๐จ๐จ'
- '๐จ๐ด'
- '๐ฐ๐ฒ'
- '๐จ๐ฌ'
- '๐จ๐ฉ'
- '๐จ๐ฐ'
- '๐จ๐ท'
- '๐จ๐ฎ'
- '๐ญ๐ท'
- '๐จ๐บ'
- '๐จ๐ผ'
- '๐จ๐พ'
- '๐จ๐ฟ'
- '๐ฉ๐ฐ'
- '๐ฉ๐ฏ'
- '๐ฉ๐ฒ'
- '๐ฉ๐ด'
- '๐ช๐จ'
- '๐ช๐ฌ'
- '๐ธ๐ป'
- '๐ฌ๐ถ'
- '๐ช๐ท'
- '๐ช๐ช'
- '๐ช๐น'
- '๐ช๐บ'
- '๐ซ๐ฐ'
- '๐ซ๐ด'
- '๐ซ๐ฏ'
- '๐ซ๐ฎ'
- '๐ซ๐ท'
- '๐ฌ๐ซ'
- '๐ต๐ซ'
- '๐น๐ซ'
- '๐ฌ๐ฆ'
- '๐ฌ๐ฒ'
- '๐ฌ๐ช'
- '๐ฉ๐ช'
- '๐ฌ๐ญ'
- '๐ฌ๐ฎ'
- '๐ฌ๐ท'
- '๐ฌ๐ฑ'
- '๐ฌ๐ฉ'
- '๐ฌ๐ต'
- '๐ฌ๐บ'
- '๐ฌ๐น'
- '๐ฌ๐ฌ'
- '๐ฌ๐ณ'
- '๐ฌ๐ผ'
- '๐ฌ๐พ'
- '๐ญ๐น'
- '๐ญ๐ณ'
- '๐ญ๐ฐ'
- '๐ญ๐บ'
- '๐ฎ๐ธ'
- '๐ฎ๐ณ'
- '๐ฎ๐ฉ'
- '๐ฎ๐ท'
- '๐ฎ๐ถ'
- '๐ฎ๐ช'
- '๐ฎ๐ฒ'
- '๐ฎ๐ฑ'
- '๐ฎ๐น'
- '๐ฏ๐ฒ'
- '๐ฏ๐ต'
- '๐'
- '๐ฏ๐ช'
- '๐ฏ๐ด'
- '๐ฐ๐ฟ'
- '๐ฐ๐ช'
- '๐ฐ๐ฎ'
- '๐ฝ๐ฐ'
- '๐ฐ๐ผ'
- '๐ฐ๐ฌ'
- '๐ฑ๐ฆ'
- '๐ฑ๐ป'
- '๐ฑ๐ง'
- '๐ฑ๐ธ'
- '๐ฑ๐ท'
- '๐ฑ๐พ'
- '๐ฑ๐ฎ'
- '๐ฑ๐น'
- '๐ฑ๐บ'
- '๐ฒ๐ด'
- '๐ฒ๐ฐ'
- '๐ฒ๐ฌ'
- '๐ฒ๐ผ'
- '๐ฒ๐พ'
- '๐ฒ๐ป'
- '๐ฒ๐ฑ'
- '๐ฒ๐น'
- '๐ฒ๐ญ'
- '๐ฒ๐ถ'
- '๐ฒ๐ท'
- '๐ฒ๐บ'
- '๐พ๐น'
- '๐ฒ๐ฝ'
- '๐ซ๐ฒ'
- '๐ฒ๐ฉ'
- '๐ฒ๐จ'
- '๐ฒ๐ณ'
- '๐ฒ๐ช'
- '๐ฒ๐ธ'
- '๐ฒ๐ฆ'
- '๐ฒ๐ฟ'
- '๐ฒ๐ฒ'
- '๐ณ๐ฆ'
- '๐ณ๐ท'
- '๐ณ๐ต'
- '๐ณ๐ฑ'
- '๐ณ๐จ'
- '๐ณ๐ฟ'
- '๐ณ๐ฎ'
- '๐ณ๐ช'
- '๐ณ๐ฌ'
- '๐ณ๐บ'
- '๐ณ๐ซ'
- '๐ฐ๐ต'
- '๐ฒ๐ต'
- '๐ณ๐ด'
- '๐ด๐ฒ'
- '๐ต๐ฐ'
- '๐ต๐ผ'
- '๐ต๐ธ'
- '๐ต๐ฆ'
- '๐ต๐ฌ'
- '๐ต๐พ'
- '๐ต๐ช'
- '๐ต๐ญ'
- '๐ต๐ณ'
- '๐ต๐ฑ'
- '๐ต๐น'
- '๐ต๐ท'
- '๐ถ๐ฆ'
- '๐ท๐ช'
- '๐ท๐ด'
- '๐ท๐บ'
- '๐ท๐ผ'
- '๐ผ๐ธ'
- '๐ธ๐ฒ'
- '๐ธ๐ฆ'
- '๐ธ๐ณ'
- '๐ท๐ธ'
- '๐ธ๐จ'
- '๐ธ๐ฑ'
- '๐ธ๐ฌ'
- '๐ธ๐ฝ'
- '๐ธ๐ฐ'
- '๐ธ๐ฎ'
- '๐ฌ๐ธ'
- '๐ธ๐ง'
- '๐ธ๐ด'
- '๐ฟ๐ฆ'
- '๐ฐ๐ท'
- '๐ธ๐ธ'
- '๐ช๐ธ'
- '๐ฑ๐ฐ'
- '๐ง๐ฑ'
- '๐ธ๐ญ'
- '๐ฐ๐ณ'
- '๐ฑ๐จ'
- '๐ต๐ฒ'
- '๐ป๐จ'
- '๐ธ๐ฉ'
- '๐ธ๐ท'
- '๐ธ๐ฟ'
- '๐ธ๐ช'
- '๐จ๐ญ'
- '๐ธ๐พ'
- '๐น๐ผ'
- '๐น๐ฏ'
- '๐น๐ฟ'
- '๐น๐ญ'
- '๐น๐ฑ'
- '๐น๐ฌ'
- '๐น๐ฐ'
- '๐น๐ด'
- '๐น๐น'
- '๐น๐ณ'
- '๐น๐ท'
- '๐น๐ฒ'
- '๐น๐จ'
- '๐น๐ป'
- '๐ป๐ฎ'
- '๐บ๐ฌ'
- '๐บ๐ฆ'
- '๐ฆ๐ช'
- '๐ฌ๐ง'
- '๐ด๓ ง๓ ข๓ ฅ๓ ฎ๓ ง๓ ฟ'
- '๐ด๓ ง๓ ข๓ ณ๓ ฃ๓ ด๓ ฟ'
- '๐ด๓ ง๓ ข๓ ท๓ ฌ๓ ณ๓ ฟ'
- '๐บ๐ณ'
- '๐บ๐ธ'
- '๐บ๐พ'
- '๐บ๐ฟ'
- '๐ป๐บ'
- '๐ป๐ฆ'
- '๐ป๐ช'
- '๐ป๐ณ'
- '๐ผ๐ซ'
- '๐ช๐ญ'
- '๐พ๐ช'
- '๐ฟ๐ฒ'
- '๐ฟ๐ผ๐ซ '
- '๐ซข'
- '๐ซฃ'
- '๐ซก'
- '๐ซฅ'
- '๐ซค'
- '๐ฅน'
- '๐ซฑ'
- '๐ซฑ๐ป'
- '๐ซฑ๐ผ'
- '๐ซฑ๐ฝ'
- '๐ซฑ๐พ'
- '๐ซฑ๐ฟ'
- '๐ซฒ'
- '๐ซฒ๐ป'
- '๐ซฒ๐ผ'
- '๐ซฒ๐ฝ'
- '๐ซฒ๐พ'
- '๐ซฒ๐ฟ'
- '๐ซณ'
- '๐ซณ๐ป'
- '๐ซณ๐ผ'
- '๐ซณ๐ฝ'
- '๐ซณ๐พ'
- '๐ซณ๐ฟ'
- '๐ซด'
- '๐ซด๐ป'
- '๐ซด๐ผ'
- '๐ซด๐ฝ'
- '๐ซด๐พ'
- '๐ซด๐ฟ'
- '๐ซฐ'
- '๐ซฐ๐ป'
- '๐ซฐ๐ผ'
- '๐ซฐ๐ฝ'
- '๐ซฐ๐พ'
- '๐ซฐ๐ฟ'
- '๐ซต'
- '๐ซต๐ป'
- '๐ซต๐ผ'
- '๐ซต๐ฝ'
- '๐ซต๐พ'
- '๐ซต๐ฟ'
- '๐ซถ'
- '๐ซถ๐ป'
- '๐ซถ๐ผ'
- '๐ซถ๐ฝ'
- '๐ซถ๐พ'
- '๐ซถ๐ฟ'
- '๐ค๐ป'
- '๐ค๐ผ'
- '๐ค๐ฝ'
- '๐ค๐พ'
- '๐ค๐ฟ'
- '๐ซฑ๐ปโ๐ซฒ๐ผ'
- '๐ซฑ๐ปโ๐ซฒ๐ฝ'
- '๐ซฑ๐ปโ๐ซฒ๐พ'
- '๐ซฑ๐ปโ๐ซฒ๐ฟ'
- '๐ซฑ๐ผโ๐ซฒ๐ป'
- '๐ซฑ๐ผโ๐ซฒ๐ฝ'
- '๐ซฑ๐ผโ๐ซฒ๐พ'
- '๐ซฑ๐ผโ๐ซฒ๐ฟ'
- '๐ซฑ๐ฝโ๐ซฒ๐ป'
- '๐ซฑ๐ฝโ๐ซฒ๐ผ'
- '๐ซฑ๐ฝโ๐ซฒ๐พ'
- '๐ซฑ๐ฝโ๐ซฒ๐ฟ'
- '๐ซฑ๐พโ๐ซฒ๐ป'
- '๐ซฑ๐พโ๐ซฒ๐ผ'
- '๐ซฑ๐พโ๐ซฒ๐ฝ'
- '๐ซฑ๐พโ๐ซฒ๐ฟ'
- '๐ซฑ๐ฟโ๐ซฒ๐ป'
- '๐ซฑ๐ฟโ๐ซฒ๐ผ'
- '๐ซฑ๐ฟโ๐ซฒ๐ฝ'
- '๐ซฑ๐ฟโ๐ซฒ๐พ'
- '๐ซฆ'
- '๐ซ
'
- '๐ซ
๐ป'
- '๐ซ
๐ผ'
- '๐ซ
๐ฝ'
- '๐ซ
๐พ'
- '๐ซ
๐ฟ'
- '๐ซ'
- '๐ซ๐ป'
- '๐ซ๐ผ'
- '๐ซ๐ฝ'
- '๐ซ๐พ'
- '๐ซ๐ฟ'
- '๐ซ'
- '๐ซ๐ป'
- '๐ซ๐ผ'
- '๐ซ๐ฝ'
- '๐ซ๐พ'
- '๐ซ๐ฟ'
- '๐ง'
- '๐ชธ'
- '๐ชท'
- '๐ชน'
- '๐ชบ'
- '๐ซ'
- '๐ซ'
- '๐ซ'
- '๐'
- '๐'
- '๐'
- '๐ชฌ'
- '๐ชฉ'
- '๐ชซ'
- '๐ฉผ'
- '๐ฉป'
- '๐ซง'
- '๐ชช'
- '๐ฐ'
- '๐ฎโ๐จ'
- '๐ตโ๐ซ'
- '๐ถโ๐ซ๏ธ'
- 'โค๏ธโ๐ฅ'
- 'โค๏ธโ๐ฉน'
- '๐งโโ๏ธ'
- '๐ง๐ปโโ๏ธ'
- '๐ง๐ผโโ๏ธ'
- '๐ง๐ฝโโ๏ธ'
- '๐ง๐พโโ๏ธ'
- '๐ง๐ฟโโ๏ธ'
- '๐งโโ๏ธ'
- '๐ง๐ปโโ๏ธ'
- '๐ง๐ผโโ๏ธ'
- '๐ง๐ฝโโ๏ธ'
- '๐ง๐พโโ๏ธ'
- '๐ง๐ฟโโ๏ธ'
- '๐๐ป'
- '๐๐ผ'
- '๐๐ฝ'
- '๐๐พ'
- '๐๐ฟ'
- '๐๐ป'
- '๐๐ผ'
- '๐๐ฝ'
- '๐๐พ'
- '๐๐ฟ'
- '๐จ๐ปโโค๏ธโ๐จ๐ป'
- '๐จ๐ปโโค๏ธโ๐จ๐ผ'
- '๐จ๐ปโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ปโโค๏ธโ๐จ๐พ'
- '๐จ๐ปโโค๏ธโ๐จ๐ฟ'
- '๐จ๐ผโโค๏ธโ๐จ๐ป'
- '๐จ๐ผโโค๏ธโ๐จ๐ผ'
- '๐จ๐ผโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ผโโค๏ธโ๐จ๐พ'
- '๐จ๐ผโโค๏ธโ๐จ๐ฟ'
- '๐จ๐ฝโโค๏ธโ๐จ๐ป'
- '๐จ๐ฝโโค๏ธโ๐จ๐ผ'
- '๐จ๐ฝโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ฝโโค๏ธโ๐จ๐พ'
- '๐จ๐ฝโโค๏ธโ๐จ๐ฟ'
- '๐จ๐พโโค๏ธโ๐จ๐ป'
- '๐จ๐พโโค๏ธโ๐จ๐ผ'
- '๐จ๐พโโค๏ธโ๐จ๐ฝ'
- '๐จ๐พโโค๏ธโ๐จ๐พ'
- '๐จ๐พโโค๏ธโ๐จ๐ฟ'
- '๐จ๐ฟโโค๏ธโ๐จ๐ป'
- '๐จ๐ฟโโค๏ธโ๐จ๐ผ'
- '๐จ๐ฟโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ฟโโค๏ธโ๐จ๐พ'
- '๐จ๐ฟโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐จ๐ป'
- '๐ฉ๐พโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐จ๐พ'
- '๐ฉ๐พโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ฟ'
- '๐ง๐ปโโค๏ธโ๐ง๐ผ'
- '๐ง๐ปโโค๏ธโ๐ง๐ฝ'
- '๐ง๐ปโโค๏ธโ๐ง๐พ'
- '๐ง๐ปโโค๏ธโ๐ง๐ฟ'
- '๐ง๐ผโโค๏ธโ๐ง๐ป'
- '๐ง๐ผโโค๏ธโ๐ง๐ฝ'
- '๐ง๐ผโโค๏ธโ๐ง๐พ'
- '๐ง๐ผโโค๏ธโ๐ง๐ฟ'
- '๐ง๐ฝโโค๏ธโ๐ง๐ป'
- '๐ง๐ฝโโค๏ธโ๐ง๐ผ'
- '๐ง๐ฝโโค๏ธโ๐ง๐พ'
- '๐ง๐ฝโโค๏ธโ๐ง๐ฟ'
- '๐ง๐พโโค๏ธโ๐ง๐ป'
- '๐ง๐พโโค๏ธโ๐ง๐ผ'
- '๐ง๐พโโค๏ธโ๐ง๐ฝ'
- '๐ง๐พโโค๏ธโ๐ง๐ฟ'
- '๐ง๐ฟโโค๏ธโ๐ง๐ป'
- '๐ง๐ฟโโค๏ธโ๐ง๐ผ'
- '๐ง๐ฟโโค๏ธโ๐ง๐ฝ'
- '๐ง๐ฟโโค๏ธโ๐ง๐พ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐พ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐พ'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐พ'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐พ'
condition: selectionFalse positives (as the rule lists them)
- Unknown
Tags
- attack.stealth
References
- Internal Research
Read on 2026-11-03T00:58:21.399Z under licence sigma-drl-1.1@d5f4c36a from https://github.com/SigmaHQ/sigma/blob/ccbb0369507f796db0b0ae6854c8a2be471b9d84/rules/windows/process_creation/proc_creation_win_susp_emoji_usage_in_cli_4.yml
Sources and licences
SigmaHQ
"Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 4" by @Kostastsale, TheDFIRReport (SigmaHQ). Rule: https://github.com/SigmaHQ/sigma/blob/ccbb0369507f796db0b0ae6854c8a2be471b9d84/rules/windows/process_creation/proc_creation_win_susp_emoji_usage_in_cli_4.yml.
Licensed under the Detection Rule License (DRL) 1.1: https://github.com/SigmaHQ/Detection-Rule-License
Cite this page
Dragons Eye Ransomware Tracker, "Sigma rule: Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 4",
entity page, dataset version ref-742601524513, updated 2022-12-05T00:00:00.000Z,
https://ransomware-tracker.com/detections/sigma/225274c4-8dd1-40db-9e09-71dff4f6fb3c (accessed 2026-11-03).
Underlying source: SigmaHQ rule 225274c4-8dd1-40db-9e09-71dff4f6fb3c, commit ccbb0369507f796db0b0ae6854c8a2be471b9d84.
Pages change. The dataset version identifies the data, but no archive of old versions is kept, so this citation cannot be replayed later.