Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 1
A Sigma rule for process creation on Windows, by @Kostastsale, TheDFIRReport.
high
What it looks for
detection:
selection:
CommandLine|contains:
- '😀'
- '😃'
- '😄'
- '😁'
- '😆'
- '😅'
- '😂'
- '🤣'
- '🥲'
- '🥹'
- '☺️'
- '😊'
- '😇'
- '🙂'
- '🙃'
- '😉'
- '😌'
- '😍'
- '🥰'
- '😘'
- '😗'
- '😙'
- '😚'
- '😋'
- '😛'
- '😝'
- '😜'
- '🤪'
- '🤨'
- '🧐'
- '🤓'
- '😎'
- '🥸'
- '🤩'
- '🥳'
- '😏'
- '😒'
- '😞'
- '😔'
- '😟'
- '😕'
- '🙁'
- '☹️'
- '😣'
- '😖'
- '😫'
- '😩'
- '🥺'
- '😢'
- '😭'
- '😮💨'
- '😤'
- '😠'
- '😡'
- '🤬'
- '🤯'
- '😳'
- '🥵'
- '🥶'
- '😱'
- '😨'
- '😰'
- '😥'
- '😓'
- '🫣'
- '🤗'
- '🫡'
- '🤔'
- '🫢'
- '🤭'
- '🤫'
- '🤥'
- '😶'
- '😶🌫️'
- '😐'
- '😑'
- '😬'
- '🫠'
- '🙄'
- '😯'
- '😦'
- '😧'
- '😮'
- '😲'
- '🥱'
- '😴'
- '🤤'
- '😪'
- '😵'
- '😵💫'
- '🫥'
- '🤐'
- '🥴'
- '🤢'
- '🤮'
- '🤧'
- '😷'
- '🤒'
- '🤕'
- '🤑'
- '🤠'
- '😈'
- '👿'
- '👹'
- '👺'
- '🤡'
- '💩'
- '👻'
- '💀'
- '☠️'
- '👽'
- '👾'
- '🤖'
- '🎃'
- '😺'
- '😸'
- '😹'
- '😻'
- '😼'
- '😽'
- '🙀'
- '😿'
- '😾'
- '👋'
- '🤚'
- '🖐'
- '✋'
- '🖖'
- '👌'
- '🤌'
- '🤏'
- '✌️'
- '🤞'
- '🫰'
- '🤟'
- '🤘'
- '🤙'
- '🫵'
- '🫱'
- '🫲'
- '🫳'
- '🫴'
- '👈'
- '👉'
- '👆'
- '🖕'
- '👇'
- '☝️'
- '👍'
- '👎'
- '✊'
- '👊'
- '🤛'
- '🤜'
- '👏'
- '🫶'
- '🙌'
- '👐'
- '🤲'
- '🤝'
- '🙏'
- '✍️'
- '💪'
- '🦾'
- '🦵'
- '🦿'
- '🦶'
- '👣'
- '👂'
- '🦻'
- '👃'
- '🫀'
- '🫁'
- '🧠'
- '🦷'
- '🦴'
- '👀'
- '👁'
- '👅'
- '👄'
- '🫦'
- '💋'
- '🩸'
- '👶'
- '👧'
- '🧒'
- '👦'
- '👩'
- '🧑'
- '👨'
- '👩🦱'
- '🧑🦱'
- '👨🦱'
- '👩🦰'
- '🧑🦰'
- '👨🦰'
- '👱♀️'
- '👱'
- '👱♂️'
- '👩🦳'
- '🧑🦳'
- '👨🦳'
- '👩🦲'
- '🧑🦲'
- '👨🦲'
- '🧔♀️'
- '🧔'
- '🧔♂️'
- '👵'
- '🧓'
- '👴'
- '👲'
- '👳♀️'
- '👳'
- '👳♂️'
- '🧕'
- '👮♀️'
- '👮'
- '👮♂️'
- '👷♀️'
- '👷'
- '👷♂️'
- '💂♀️'
- '💂'
- '💂♂️'
- '🕵️♀️'
- '🕵️'
- '🕵️♂️'
- '👩⚕️'
- '🧑⚕️'
- '👨⚕️'
- '👩🌾'
- '🧑🌾'
- '👨🌾'
- '👩🍳'
- '🧑🍳'
- '👨🍳'
- '👩🎓'
- '🧑🎓'
- '👨🎓'
- '👩🎤'
- '🧑🎤'
- '👨🎤'
- '👩🏫'
- '🧑🏫'
- '👨🏫'
- '👩🏭'
- '🧑🏭'
- '👨🏭'
- '👩💻'
- '🧑💻'
- '👨💻'
- '👩💼'
- '🧑💼'
- '👨💼'
- '👩🔧'
- '🧑🔧'
- '👨🔧'
- '👩🔬'
- '🧑🔬'
- '👨🔬'
- '👩🎨'
- '🧑🎨'
- '👨🎨'
- '👩🚒'
- '🧑🚒'
- '👨🚒'
- '👩✈️'
- '🧑✈️'
- '👨✈️'
- '👩🚀'
- '🧑🚀'
- '👨🚀'
- '👩⚖️'
- '🧑⚖️'
- '👨⚖️'
- '👰♀️'
- '👰'
- '👰♂️'
- '🤵♀️'
- '🤵'
- '🤵♂️'
- '👸'
- '🫅'
- '🤴'
- '🥷'
- '🦸♀️'
- '🦸'
- '🦸♂️'
- '🦹♀️'
- '🦹'
- '🦹♂️'
- '🤶'
- '🧑🎄'
- '🎅'
- '🧙♀️'
- '🧙'
- '🧙♂️'
- '🧝♀️'
- '🧝'
- '🧝♂️'
- '🧛♀️'
- '🧛'
- '🧛♂️'
- '🧟♀️'
- '🧟'
- '🧟♂️'
- '🧞♀️'
- '🧞'
- '🧞♂️'
- '🧜♀️'
- '🧜'
- '🧜♂️'
- '🧚♀️'
- '🧚'
- '🧚♂️'
- '🧌'
- '👼'
- '🤰'
- '🫄'
- '🫃'
- '🤱'
- '👩🍼'
- '🧑🍼'
- '👨🍼'
- '🙇♀️'
- '🙇'
- '🙇♂️'
- '💁♀️'
- '💁'
- '💁♂️'
- '🙅♀️'
- '🙅'
- '🙅♂️'
- '🙆♀️'
- '🙆'
- '🙆♂️'
- '🙋♀️'
- '🙋'
- '🙋♂️'
- '🧏♀️'
- '🧏'
- '🧏♂️'
- '🤦♀️'
- '🤦'
- '🤦♂️'
- '🤷♀️'
- '🤷'
- '🤷♂️'
- '🙎♀️'
- '🙎'
- '🙎♂️'
- '🙍♀️'
- '🙍'
- '🙍♂️'
- '💇♀️'
- '💇'
- '💇♂️'
- '💆♀️'
- '💆'
- '💆♂️'
- '🧖♀️'
- '🧖'
- '🧖♂️'
- '💅'
- '💃'
- '🕺'
- '👯♀️'
- '👯'
- '👯♂️'
- '🕴'
- '👩🦽'
- '🧑🦽'
- '👨🦽'
- '👩🦼'
- '🧑🦼'
- '👨🦼'
- '🚶♀️'
- '🚶'
- '🚶♂️'
- '👩🦯'
- '🧑🦯'
- '👨🦯'
- '🧎♀️'
- '🧎'
- '🧎♂️'
- '🏃♀️'
- '🏃'
- '🏃♂️'
- '🧍♀️'
- '🧍'
- '🧍♂️'
- '👭'
- '🧑🤝🧑'
- '👬'
- '👫'
- '👩❤️👩'
- '💑'
- '👨❤️👨'
- '👩❤️👨'
- '👩❤️💋👩'
- '💏'
- '👨❤️💋👨'
- '👩❤️💋👨'
- '👪'
- '👨👩👦'
- '👨👩👧'
- '👨👩👧👦'
- '👨👩👦👦'
- '👨👩👧👧'
- '👨👨👦'
- '👨👨👧'
- '👨👨👧👦'
- '👨👨👦👦'
- '👨👨👧👧'
- '👩👩👦'
- '👩👩👧'
- '👩👩👧👦'
- '👩👩👦👦'
- '👩👩👧👧'
- '👨👦'
- '👨👦👦'
- '👨👧'
- '👨👧👦'
- '👨👧👧'
- '👩👦'
- '👩👦👦'
- '👩👧'
- '👩👧👦'
- '👩👧👧'
- '🗣'
- '👤'
- '👥'
- '🫂'
- '🧳'
- '🌂'
- '☂️'
- '🧵'
- '🪡'
- '🪢'
- '🧶'
- '👓'
- '🕶'
- '🥽'
- '🥼'
- '🦺'
- '👔'
- '👕'
- '👖'
- '🧣'
- '🧤'
- '🧥'
- '🧦'
- '👗'
- '👘'
- '🥻'
- '🩴'
- '🩱'
- '🩲'
- '🩳'
- '👙'
- '👚'
- '👛'
- '👜'
- '👝'
- '🎒'
- '👞'
- '👟'
- '🥾'
- '🥿'
- '👠'
- '👡'
- '🩰'
- '👢'
- '👑'
- '👒'
- '🎩'
- '🎓'
- '🧢'
- '⛑'
- '🪖'
- '💄'
- '💍'
- '💼'
- '👋🏻'
- '🤚🏻'
- '🖐🏻'
- '✋🏻'
- '🖖🏻'
- '👌🏻'
- '🤌🏻'
- '🤏🏻'
- '✌🏻'
- '🤞🏻'
- '🫰🏻'
- '🤟🏻'
- '🤘🏻'
- '🤙🏻'
- '🫵🏻'
- '🫱🏻'
- '🫲🏻'
- '🫳🏻'
- '🫴🏻'
- '👈🏻'
- '👉🏻'
- '👆🏻'
- '🖕🏻'
- '👇🏻'
- '☝🏻'
- '👍🏻'
- '👎🏻'
- '✊🏻'
- '👊🏻'
- '🤛🏻'
- '🤜🏻'
- '👏🏻'
- '🫶🏻'
- '🙌🏻'
- '👐🏻'
- '🤲🏻'
- '🙏🏻'
- '✍🏻'
- '💪🏻'
- '🦵🏻'
- '🦶🏻'
- '👂🏻'
- '🦻🏻'
- '👃🏻'
- '👶🏻'
- '👧🏻'
- '🧒🏻'
- '👦🏻'
- '👩🏻'
- '🧑🏻'
- '👨🏻'
- '👩🏻🦱'
- '🧑🏻🦱'
- '👨🏻🦱'
- '👩🏻🦰'
- '🧑🏻🦰'
- '👨🏻🦰'
- '👱🏻♀️'
- '👱🏻'
- '👱🏻♂️'
- '👩🏻🦳'
- '🧑🏻🦳'
- '👨🏻🦳'
- '👩🏻🦲'
- '🧑🏻🦲'
- '👨🏻🦲'
- '🧔🏻♀️'
- '🧔🏻'
- '🧔🏻♂️'
- '👵🏻'
- '🧓🏻'
- '👴🏻'
- '👲🏻'
- '👳🏻♀️'
- '👳🏻'
- '👳🏻♂️'
- '🧕🏻'
- '👮🏻♀️'
- '👮🏻'
- '👮🏻♂️'
- '👷🏻♀️'
- '👷🏻'
- '👷🏻♂️'
- '💂🏻♀️'
- '💂🏻'
- '💂🏻♂️'
- '🕵🏻♀️'
- '🕵🏻'
- '🕵🏻♂️'
- '👩🏻⚕️'
- '🧑🏻⚕️'
- '👨🏻⚕️'
- '👩🏻🌾'
- '🧑🏻🌾'
- '👨🏻🌾'
- '👩🏻🍳'
- '🧑🏻🍳'
- '👨🏻🍳'
- '👩🏻🎓'
- '🧑🏻🎓'
- '👨🏻🎓'
- '👩🏻🎤'
- '🧑🏻🎤'
- '👨🏻🎤'
- '👩🏻🏫'
- '🧑🏻🏫'
- '👨🏻🏫'
- '👩🏻🏭'
- '🧑🏻🏭'
- '👨🏻🏭'
- '👩🏻💻'
- '🧑🏻💻'
- '👨🏻💻'
- '👩🏻💼'
- '🧑🏻💼'
- '👨🏻💼'
- '👩🏻🔧'
- '🧑🏻🔧'
- '👨🏻🔧'
- '👩🏻🔬'
- '🧑🏻🔬'
- '👨🏻🔬'
- '👩🏻🎨'
- '🧑🏻🎨'
- '👨🏻🎨'
- '👩🏻🚒'
- '🧑🏻🚒'
- '👨🏻🚒'
- '👩🏻✈️'
- '🧑🏻✈️'
- '👨🏻✈️'
- '👩🏻🚀'
- '🧑🏻🚀'
- '👨🏻🚀'
- '👩🏻⚖️'
- '🧑🏻⚖️'
- '👨🏻⚖️'
- '👰🏻♀️'
- '👰🏻'
- '👰🏻♂️'
- '🤵🏻♀️'
- '🤵🏻'
- '🤵🏻♂️'
- '👸🏻'
- '🫅🏻'
- '🤴🏻'
- '🥷🏻'
- '🦸🏻♀️'
- '🦸🏻'
- '🦸🏻♂️'
- '🦹🏻♀️'
- '🦹🏻'
- '🦹🏻♂️'
- '🤶🏻'
- '🧑🏻🎄'
- '🎅🏻'
- '🧙🏻♀️'
- '🧙🏻'
- '🧙🏻♂️'
- '🧝🏻♀️'
- '🧝🏻'
- '🧝🏻♂️'
- '🧛🏻♀️'
- '🧛🏻'
- '🧛🏻♂️'
- '🧜🏻♀️'
- '🧜🏻'
- '🧜🏻♂️'
- '🧚🏻♀️'
- '🧚🏻'
- '🧚🏻♂️'
- '👼🏻'
- '🤰🏻'
- '🫄🏻'
- '🫃🏻'
- '🤱🏻'
- '👩🏻🍼'
- '🧑🏻🍼'
- '👨🏻🍼'
- '🙇🏻♀️'
- '🙇🏻'
- '🙇🏻♂️'
- '💁🏻♀️'
- '💁🏻'
- '💁🏻♂️'
- '🙅🏻♀️'
- '🙅🏻'
- '🙅🏻♂️'
- '🙆🏻♀️'
- '🙆🏻'
- '🙆🏻♂️'
- '🙋🏻♀️'
- '🙋🏻'
- '🙋🏻♂️'
- '🧏🏻♀️'
- '🧏🏻'
- '🧏🏻♂️'
- '🤦🏻♀️'
- '🤦🏻'
- '🤦🏻♂️'
- '🤷🏻♀️'
- '🤷🏻'
- '🤷🏻♂️'
- '🙎🏻♀️'
- '🙎🏻'
- '🙎🏻♂️'
- '🙍🏻♀️'
- '🙍🏻'
- '🙍🏻♂️'
- '💇🏻♀️'
- '💇🏻'
- '💇🏻♂️'
- '💆🏻♀️'
- '💆🏻'
- '💆🏻♂️'
- '🧖🏻♀️'
- '🧖🏻'
- '🧖🏻♂️'
- '💃🏻'
- '🕺🏻'
- '🕴🏻'
- '👩🏻🦽'
- '🧑🏻🦽'
- '👨🏻🦽'
- '👩🏻🦼'
- '🧑🏻🦼'
- '👨🏻🦼'
- '🚶🏻♀️'
- '🚶🏻'
- '🚶🏻♂️'
- '👩🏻🦯'
- '🧑🏻🦯'
- '👨🏻🦯'
- '🧎🏻♀️'
- '🧎🏻'
- '🧎🏻♂️'
- '🏃🏻♀️'
- '🏃🏻'
- '🏃🏻♂️'
- '🧍🏻♀️'
- '🧍🏻'
- '🧍🏻♂️'
- '👭🏻'
- '🧑🏻🤝🧑🏻'
- '👬🏻'
- '👫🏻'
- '🧗🏻♀️'
- '🧗🏻'
- '🧗🏻♂️'
- '🏇🏻'
- '🏂🏻'
- '🏌🏻♀️'
- '🏌🏻'
- '🏌🏻♂️'
- '🏄🏻♀️'
- '🏄🏻'
- '🏄🏻♂️'
- '🚣🏻♀️'
- '🚣🏻'
- '🚣🏻♂️'
- '🏊🏻♀️'
- '🏊🏻'
- '🏊🏻♂️'
- '⛹🏻♀️'
- '⛹🏻'
- '⛹🏻♂️'
- '🏋🏻♀️'
- '🏋🏻'
- '🏋🏻♂️'
- '🚴🏻♀️'
- '🚴🏻'
- '🚴🏻♂️'
- '🚵🏻♀️'
- '🚵🏻'
- '🚵🏻♂️'
- '🤸🏻♀️'
- '🤸🏻'
- '🤸🏻♂️'
- '🤽🏻♀️'
- '🤽🏻'
- '🤽🏻♂️'
- '🤾🏻♀️'
- '🤾🏻'
- '🤾🏻♂️'
- '🤹🏻♀️'
- '🤹🏻'
- '🤹🏻♂️'
- '🧘🏻♀️'
- '🧘🏻'
- '🧘🏻♂️'
- '🛀🏻'
- '🛌🏻'
- '👋🏼'
- '🤚🏼'
- '🖐🏼'
- '✋🏼'
- '🖖🏼'
- '👌🏼'
- '🤌🏼'
- '🤏🏼'
- '✌🏼'
- '🤞🏼'
- '🫰🏼'
- '🤟🏼'
- '🤘🏼'
- '🤙🏼'
- '🫵🏼'
- '🫱🏼'
- '🫲🏼'
- '🫳🏼'
- '🫴🏼'
- '👈🏼'
- '👉🏼'
- '👆🏼'
- '🖕🏼'
- '👇🏼'
- '☝🏼'
- '👍🏼'
- '👎🏼'
- '✊🏼'
- '👊🏼'
- '🤛🏼'
- '🤜🏼'
- '👏🏼'
- '🫶🏼'
- '🙌🏼'
- '👐🏼'
- '🤲🏼'
- '🙏🏼'
- '✍🏼'
- '💪🏼'
- '🦵🏼'
- '🦶🏼'
- '👂🏼'
- '🦻🏼'
- '👃🏼'
- '👶🏼'
- '👧🏼'
- '🧒🏼'
- '👦🏼'
- '👩🏼'
- '🧑🏼'
- '👨🏼'
- '👩🏼🦱'
- '🧑🏼🦱'
- '👨🏼🦱'
- '👩🏼🦰'
- '🧑🏼🦰'
- '👨🏼🦰'
- '👱🏼♀️'
- '👱🏼'
- '👱🏼♂️'
- '👩🏼🦳'
- '🧑🏼🦳'
- '👨🏼🦳'
- '👩🏼🦲'
- '🧑🏼🦲'
- '👨🏼🦲'
- '🧔🏼♀️'
- '🧔🏼'
- '🧔🏼♂️'
- '👵🏼'
- '🧓🏼'
- '👴🏼'
- '👲🏼'
- '👳🏼♀️'
- '👳🏼'
- '👳🏼♂️'
- '🧕🏼'
- '👮🏼♀️'
- '👮🏼'
- '👮🏼♂️'
- '👷🏼♀️'
- '👷🏼'
- '👷🏼♂️'
- '💂🏼♀️'
- '💂🏼'
- '💂🏼♂️'
- '🕵🏼♀️'
- '🕵🏼'
- '🕵🏼♂️'
- '👩🏼⚕️'
- '🧑🏼⚕️'
- '👨🏼⚕️'
- '👩🏼🌾'
- '🧑🏼🌾'
- '👨🏼🌾'
- '👩🏼🍳'
- '🧑🏼🍳'
- '👨🏼🍳'
- '👩🏼🎓'
- '🧑🏼🎓'
- '👨🏼🎓'
- '👩🏼🎤'
- '🧑🏼🎤'
- '👨🏼🎤'
- '👩🏼🏫'
- '🧑🏼🏫'
- '👨🏼🏫'
- '👩🏼🏭'
- '🧑🏼🏭'
- '👨🏼🏭'
- '👩🏼💻'
- '🧑🏼💻'
- '👨🏼💻'
- '👩🏼💼'
- '🧑🏼💼'
- '👨🏼💼'
- '👩🏼🔧'
- '🧑🏼🔧'
- '👨🏼🔧'
- '👩🏼🔬'
- '🧑🏼🔬'
- '👨🏼🔬'
- '👩🏼🎨'
- '🧑🏼🎨'
- '👨🏼🎨'
- '👩🏼🚒'
- '🧑🏼🚒'
- '👨🏼🚒'
- '👩🏼✈️'
- '🧑🏼✈️'
- '👨🏼✈️'
- '👩🏼🚀'
- '🧑🏼🚀'
- '👨🏼🚀'
- '👩🏼⚖️'
- '🧑🏼⚖️'
- '👨🏼⚖️'
- '👰🏼♀️'
- '👰🏼'
- '👰🏼♂️'
- '🤵🏼♀️'
- '🤵🏼'
- '🤵🏼♂️'
- '👸🏼'
- '🫅🏼'
- '🤴🏼'
- '🥷🏼'
- '🦸🏼♀️'
- '🦸🏼'
- '🦸🏼♂️'
- '🦹🏼♀️'
- '🦹🏼'
- '🦹🏼♂️'
- '🤶🏼'
- '🧑🏼🎄'
- '🎅🏼'
- '🧙🏼♀️'
- '🧙🏼'
- '🧙🏼♂️'
- '🧝🏼♀️'
- '🧝🏼'
- '🧝🏼♂️'
- '🧛🏼♀️'
- '🧛🏼'
- '🧛🏼♂️'
- '🧜🏼♀️'
- '🧜🏼'
- '🧜🏼♂️'
- '🧚🏼♀️'
- '🧚🏼'
- '🧚🏼♂️'
- '👼🏼'
- '🤰🏼'
- '🫄🏼'
- '🫃🏼'
- '🤱🏼'
- '👩🏼🍼'
- '🧑🏼🍼'
- '👨🏼🍼'
- '🙇🏼♀️'
- '🙇🏼'
- '🙇🏼♂️'
- '💁🏼♀️'
- '💁🏼'
- '💁🏼♂️'
- '🙅🏼♀️'
- '🙅🏼'
- '🙅🏼♂️'
- '🙆🏼♀️'
- '🙆🏼'
- '🙆🏼♂️'
- '🙋🏼♀️'
- '🙋🏼'
- '🙋🏼♂️'
- '🧏🏼♀️'
- '🧏🏼'
- '🧏🏼♂️'
- '🤦🏼♀️'
- '🤦🏼'
- '🤦🏼♂️'
- '🤷🏼♀️'
condition: selection
The rule’s detection, its selections and fields in order of name. The whole rule, with its references and false positives, is on SigmaHQ, by @Kostastsale, TheDFIRReport, under the Detection Rule License 1.1. CmdID evaluates it on a command line alone: a test on what a command line cannot show, such as the parent process or the user, is not met.
None of the everyday examples and documented commands on CmdID’s program pages trips it. To see whether a command line does, paste it into CmdID.