Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 2
A Sigma rule for process creation on Windows, by @Kostastsale, TheDFIRReport.
high
What it looks for
detection:
selection:
CommandLine|contains:
- '🤷🏼'
- '🤷🏼♂️'
- '🙎🏼♀️'
- '🙎🏼'
- '🙎🏼♂️'
- '🙍🏼♀️'
- '🙍🏼'
- '🙍🏼♂️'
- '💇🏼♀️'
- '💇🏼'
- '💇🏼♂️'
- '💆🏼♀️'
- '💆🏼'
- '💆🏼♂️'
- '🧖🏼♀️'
- '🧖🏼'
- '🧖🏼♂️'
- '💃🏼'
- '🕺🏼'
- '🕴🏼'
- '👩🏼🦽'
- '🧑🏼🦽'
- '👨🏼🦽'
- '👩🏼🦼'
- '🧑🏼🦼'
- '👨🏼🦼'
- '🚶🏼♀️'
- '🚶🏼'
- '🚶🏼♂️'
- '👩🏼🦯'
- '🧑🏼🦯'
- '👨🏼🦯'
- '🧎🏼♀️'
- '🧎🏼'
- '🧎🏼♂️'
- '🏃🏼♀️'
- '🏃🏼'
- '🏃🏼♂️'
- '🧍🏼♀️'
- '🧍🏼'
- '🧍🏼♂️'
- '👭🏼'
- '🧑🏼🤝🧑🏼'
- '👬🏼'
- '👫🏼'
- '🧗🏼♀️'
- '🧗🏼'
- '🧗🏼♂️'
- '🏇🏼'
- '🏂🏼'
- '🏌🏼♀️'
- '🏌🏼'
- '🏌🏼♂️'
- '🏄🏼♀️'
- '🏄🏼'
- '🏄🏼♂️'
- '🚣🏼♀️'
- '🚣🏼'
- '🚣🏼♂️'
- '🏊🏼♀️'
- '🏊🏼'
- '🏊🏼♂️'
- '⛹🏼♀️'
- '⛹🏼'
- '⛹🏼♂️'
- '🏋🏼♀️'
- '🏋🏼'
- '🏋🏼♂️'
- '🚴🏼♀️'
- '🚴🏼'
- '🚴🏼♂️'
- '🚵🏼♀️'
- '🚵🏼'
- '🚵🏼♂️'
- '🤸🏼♀️'
- '🤸🏼'
- '🤸🏼♂️'
- '🤽🏼♀️'
- '🤽🏼'
- '🤽🏼♂️'
- '🤾🏼♀️'
- '🤾🏼'
- '🤾🏼♂️'
- '🤹🏼♀️'
- '🤹🏼'
- '🤹🏼♂️'
- '🧘🏼♀️'
- '🧘🏼'
- '🧘🏼♂️'
- '🛀🏼'
- '🛌🏼'
- '👋🏽'
- '🤚🏽'
- '🖐🏽'
- '✋🏽'
- '🖖🏽'
- '👌🏽'
- '🤌🏽'
- '🤏🏽'
- '✌🏽'
- '🤞🏽'
- '🫰🏽'
- '🤟🏽'
- '🤘🏽'
- '🤙🏽'
- '🫵🏽'
- '🫱🏽'
- '🫲🏽'
- '🫳🏽'
- '🫴🏽'
- '👈🏽'
- '👉🏽'
- '👆🏽'
- '🖕🏽'
- '👇🏽'
- '☝🏽'
- '👍🏽'
- '👎🏽'
- '✊🏽'
- '👊🏽'
- '🤛🏽'
- '🤜🏽'
- '👏🏽'
- '🫶🏽'
- '🙌🏽'
- '👐🏽'
- '🤲🏽'
- '🙏🏽'
- '✍🏽'
- '💪🏽'
- '🦵🏽'
- '🦶🏽'
- '👂🏽'
- '🦻🏽'
- '👃🏽'
- '👶🏽'
- '👧🏽'
- '🧒🏽'
- '👦🏽'
- '👩🏽'
- '🧑🏽'
- '👨🏽'
- '👩🏽🦱'
- '🧑🏽🦱'
- '👨🏽🦱'
- '👩🏽🦰'
- '🧑🏽🦰'
- '👨🏽🦰'
- '👱🏽♀️'
- '👱🏽'
- '👱🏽♂️'
- '👩🏽🦳'
- '🧑🏽🦳'
- '👨🏽🦳'
- '👩🏽🦲'
- '🧑🏽🦲'
- '👨🏽🦲'
- '🧔🏽♀️'
- '🧔🏽'
- '🧔🏽♂️'
- '👵🏽'
- '🧓🏽'
- '👴🏽'
- '👲🏽'
- '👳🏽♀️'
- '👳🏽'
- '👳🏽♂️'
- '🧕🏽'
- '👮🏽♀️'
- '👮🏽'
- '👮🏽♂️'
- '👷🏽♀️'
- '👷🏽'
- '👷🏽♂️'
- '💂🏽♀️'
- '💂🏽'
- '💂🏽♂️'
- '🕵🏽♀️'
- '🕵🏽'
- '🕵🏽♂️'
- '👩🏽⚕️'
- '🧑🏽⚕️'
- '👨🏽⚕️'
- '👩🏽🌾'
- '🧑🏽🌾'
- '👨🏽🌾'
- '👩🏽🍳'
- '🧑🏽🍳'
- '👨🏽🍳'
- '👩🏽🎓'
- '🧑🏽🎓'
- '👨🏽🎓'
- '👩🏽🎤'
- '🧑🏽🎤'
- '👨🏽🎤'
- '👩🏽🏫'
- '🧑🏽🏫'
- '👨🏽🏫'
- '👩🏽🏭'
- '🧑🏽🏭'
- '👨🏽🏭'
- '👩🏽💻'
- '🧑🏽💻'
- '👨🏽💻'
- '👩🏽💼'
- '🧑🏽💼'
- '👨🏽💼'
- '👩🏽🔧'
- '🧑🏽🔧'
- '👨🏽🔧'
- '👩🏽🔬'
- '🧑🏽🔬'
- '👨🏽🔬'
- '👩🏽🎨'
- '🧑🏽🎨'
- '👨🏽🎨'
- '👩🏽🚒'
- '🧑🏽🚒'
- '👨🏽🚒'
- '👩🏽✈️'
- '🧑🏽✈️'
- '👨🏽✈️'
- '👩🏽🚀'
- '🧑🏽🚀'
- '👨🏽🚀'
- '👩🏽⚖️'
- '🧑🏽⚖️'
- '👨🏽⚖️'
- '👰🏽♀️'
- '👰🏽'
- '👰🏽♂️'
- '🤵🏽♀️'
- '🤵🏽'
- '🤵🏽♂️'
- '👸🏽'
- '🫅🏽'
- '🤴🏽'
- '🥷🏽'
- '🦸🏽♀️'
- '🦸🏽'
- '🦸🏽♂️'
- '🦹🏽♀️'
- '🦹🏽'
- '🦹🏽♂️'
- '🤶🏽'
- '🧑🏽🎄'
- '🎅🏽'
- '🧙🏽♀️'
- '🧙🏽'
- '🧙🏽♂️'
- '🧝🏽♀️'
- '🧝🏽'
- '🧝🏽♂️'
- '🧛🏽♀️'
- '🧛🏽'
- '🧛🏽♂️'
- '🧜🏽♀️'
- '🧜🏽'
- '🧜🏽♂️'
- '🧚🏽♀️'
- '🧚🏽'
- '🧚🏽♂️'
- '👼🏽'
- '🤰🏽'
- '🫄🏽'
- '🫃🏽'
- '🤱🏽'
- '👩🏽🍼'
- '🧑🏽🍼'
- '👨🏽🍼'
- '🙇🏽♀️'
- '🙇🏽'
- '🙇🏽♂️'
- '💁🏽♀️'
- '💁🏽'
- '💁🏽♂️'
- '🙅🏽♀️'
- '🙅🏽'
- '🙅🏽♂️'
- '🙆🏽♀️'
- '🙆🏽'
- '🙆🏽♂️'
- '🙋🏽♀️'
- '🙋🏽'
- '🙋🏽♂️'
- '🧏🏽♀️'
- '🧏🏽'
- '🧏🏽♂️'
- '🤦🏽♀️'
- '🤦🏽'
- '🤦🏽♂️'
- '🤷🏽♀️'
- '🤷🏽'
- '🤷🏽♂️'
- '🙎🏽♀️'
- '🙎🏽'
- '🙎🏽♂️'
- '🙍🏽♀️'
- '🙍🏽'
- '🙍🏽♂️'
- '💇🏽♀️'
- '💇🏽'
- '💇🏽♂️'
- '💆🏽♀️'
- '💆🏽'
- '💆🏽♂️'
- '🧖🏽♀️'
- '🧖🏽'
- '🧖🏽♂️'
- '💃🏽'
- '🕺🏽'
- '🕴🏽'
- '👩🏽🦽'
- '🧑🏽🦽'
- '👨🏽🦽'
- '👩🏽🦼'
- '🧑🏽🦼'
- '👨🏽🦼'
- '🚶🏽♀️'
- '🚶🏽'
- '🚶🏽♂️'
- '👩🏽🦯'
- '🧑🏽🦯'
- '👨🏽🦯'
- '🧎🏽♀️'
- '🧎🏽'
- '🧎🏽♂️'
- '🏃🏽♀️'
- '🏃🏽'
- '🏃🏽♂️'
- '🧍🏽♀️'
- '🧍🏽'
- '🧍🏽♂️'
- '👭🏽'
- '🧑🏽🤝🧑🏽'
- '👬🏽'
- '👫🏽'
- '🧗🏽♀️'
- '🧗🏽'
- '🧗🏽♂️'
- '🏇🏽'
- '🏂🏽'
- '🏌🏽♀️'
- '🏌🏽'
- '🏌🏽♂️'
- '🏄🏽♀️'
- '🏄🏽'
- '🏄🏽♂️'
- '🚣🏽♀️'
- '🚣🏽'
- '🚣🏽♂️'
- '🏊🏽♀️'
- '🏊🏽'
- '🏊🏽♂️'
- '⛹🏽♀️'
- '⛹🏽'
- '⛹🏽♂️'
- '🏋🏽♀️'
- '🏋🏽'
- '🏋🏽♂️'
- '🚴🏽♀️'
- '🚴🏽'
- '🚴🏽♂️'
- '🚵🏽♀️'
- '🚵🏽'
- '🚵🏽♂️'
- '🤸🏽♀️'
- '🤸🏽'
- '🤸🏽♂️'
- '🤽🏽♀️'
- '🤽🏽'
- '🤽🏽♂️'
- '🤾🏽♀️'
- '🤾🏽'
- '🤾🏽♂️'
- '🤹🏽♀️'
- '🤹🏽'
- '🤹🏽♂️'
- '🧘🏽♀️'
- '🧘🏽'
- '🧘🏽♂️'
- '🛀🏽'
- '🛌🏽'
- '👋🏾'
- '🤚🏾'
- '🖐🏾'
- '✋🏾'
- '🖖🏾'
- '👌🏾'
- '🤌🏾'
- '🤏🏾'
- '✌🏾'
- '🤞🏾'
- '🫰🏾'
- '🤟🏾'
- '🤘🏾'
- '🤙🏾'
- '🫵🏾'
- '🫱🏾'
- '🫲🏾'
- '🫳🏾'
- '🫴🏾'
- '👈🏾'
- '👉🏾'
- '👆🏾'
- '🖕🏾'
- '👇🏾'
- '☝🏾'
- '👍🏾'
- '👎🏾'
- '✊🏾'
- '👊🏾'
- '🤛🏾'
- '🤜🏾'
- '👏🏾'
- '🫶🏾'
- '🙌🏾'
- '👐🏾'
- '🤲🏾'
- '🙏🏾'
- '✍🏾'
- '💪🏾'
- '🦵🏾'
- '🦶🏾'
- '👂🏾'
- '🦻🏾'
- '👃🏾'
- '👶🏾'
- '👧🏾'
- '🧒🏾'
- '👦🏾'
- '👩🏾'
- '🧑🏾'
- '👨🏾'
- '👩🏾🦱'
- '🧑🏾🦱'
- '👨🏾🦱'
- '👩🏾🦰'
- '🧑🏾🦰'
- '👨🏾🦰'
- '👱🏾♀️'
- '👱🏾'
- '👱🏾♂️'
- '👩🏾🦳'
- '🧑🏾🦳'
- '👨🏾🦳'
- '👩🏾🦲'
- '🧑🏾🦲'
- '👨🏾🦲'
- '🧔🏾♀️'
- '🧔🏾'
- '🧔🏾♂️'
- '👵🏾'
- '🧓🏾'
- '👴🏾'
- '👲🏾'
- '👳🏾♀️'
- '👳🏾'
- '👳🏾♂️'
- '🧕🏾'
- '👮🏾♀️'
- '👮🏾'
- '👮🏾♂️'
- '👷🏾♀️'
- '👷🏾'
- '👷🏾♂️'
- '💂🏾♀️'
- '💂🏾'
- '💂🏾♂️'
- '🕵🏾♀️'
- '🕵🏾'
- '🕵🏾♂️'
- '👩🏾⚕️'
- '🧑🏾⚕️'
- '👨🏾⚕️'
- '👩🏾🌾'
- '🧑🏾🌾'
- '👨🏾🌾'
- '👩🏾🍳'
- '🧑🏾🍳'
- '👨🏾🍳'
- '👩🏾🎓'
- '🧑🏾🎓'
- '👨🏾🎓'
- '👩🏾🎤'
- '🧑🏾🎤'
- '👨🏾🎤'
- '👩🏾🏫'
- '🧑🏾🏫'
- '👨🏾🏫'
- '👩🏾🏭'
- '🧑🏾🏭'
- '👨🏾🏭'
- '👩🏾💻'
- '🧑🏾💻'
- '👨🏾💻'
- '👩🏾💼'
- '🧑🏾💼'
- '👨🏾💼'
- '👩🏾🔧'
- '🧑🏾🔧'
- '👨🏾🔧'
- '👩🏾🔬'
- '🧑🏾🔬'
- '👨🏾🔬'
- '👩🏾🎨'
- '🧑🏾🎨'
- '👨🏾🎨'
- '👩🏾🚒'
- '🧑🏾🚒'
- '👨🏾🚒'
- '👩🏾✈️'
- '🧑🏾✈️'
- '👨🏾✈️'
- '👩🏾🚀'
- '🧑🏾🚀'
- '👨🏾🚀'
- '👩🏾⚖️'
- '🧑🏾⚖️'
- '👨🏾⚖️'
- '👰🏾♀️'
- '👰🏾'
- '👰🏾♂️'
- '🤵🏾♀️'
- '🤵🏾'
- '🤵🏾♂️'
- '👸🏾'
- '🫅🏾'
- '🤴🏾'
- '🥷🏾'
- '🦸🏾♀️'
- '🦸🏾'
- '🦸🏾♂️'
- '🦹🏾♀️'
- '🦹🏾'
- '🦹🏾♂️'
- '🤶🏾'
- '🧑🏾🎄'
- '🎅🏾'
- '🧙🏾♀️'
- '🧙🏾'
- '🧙🏾♂️'
- '🧝🏾♀️'
- '🧝🏾'
- '🧝🏾♂️'
- '🧛🏾♀️'
- '🧛🏾'
- '🧛🏾♂️'
- '🧜🏾♀️'
- '🧜🏾'
- '🧜🏾♂️'
- '🧚🏾♀️'
- '🧚🏾'
- '🧚🏾♂️'
- '👼🏾'
- '🤰🏾'
- '🫄🏾'
- '🫃🏾'
- '🤱🏾'
- '👩🏾🍼'
- '🧑🏾🍼'
- '👨🏾🍼'
- '🙇🏾♀️'
- '🙇🏾'
- '🙇🏾♂️'
- '💁🏾♀️'
- '💁🏾'
- '💁🏾♂️'
- '🙅🏾♀️'
- '🙅🏾'
- '🙅🏾♂️'
- '🙆🏾♀️'
- '🙆🏾'
- '🙆🏾♂️'
- '🙋🏾♀️'
- '🙋🏾'
- '🙋🏾♂️'
- '🧏🏾♀️'
- '🧏🏾'
- '🧏🏾♂️'
- '🤦🏾♀️'
- '🤦🏾'
- '🤦🏾♂️'
- '🤷🏾♀️'
- '🤷🏾'
- '🤷🏾♂️'
- '🙎🏾♀️'
- '🙎🏾'
- '🙎🏾♂️'
- '🙍🏾♀️'
- '🙍🏾'
- '🙍🏾♂️'
- '💇🏾♀️'
- '💇🏾'
- '💇🏾♂️'
- '💆🏾♀️'
- '💆🏾'
- '💆🏾♂️'
- '🧖🏾♀️'
- '🧖🏾'
- '🧖🏾♂️'
- '💃🏾'
- '🕺🏾'
- '👩🏾🦽'
- '🧑🏾🦽'
- '👨🏾🦽'
- '👩🏾🦼'
- '🧑🏾🦼'
- '👨🏾🦼'
- '🚶🏾♀️'
- '🚶🏾'
- '🚶🏾♂️'
- '👩🏾🦯'
- '🧑🏾🦯'
- '👨🏾🦯'
- '🧎🏾♀️'
- '🧎🏾'
- '🧎🏾♂️'
- '🏃🏾♀️'
- '🏃🏾'
- '🏃🏾♂️'
- '🧍🏾♀️'
- '🧍🏾'
- '🧍🏾♂️'
- '👭🏾'
- '🧑🏾🤝🧑🏾'
- '👬🏾'
- '👫🏾'
- '🧗🏾♀️'
- '🧗🏾'
- '🧗🏾♂️'
- '🏇🏾'
- '🏂🏾'
- '🏌🏾♀️'
- '🏌🏾'
- '🏌🏾♂️'
- '🏄🏾♀️'
- '🏄🏾'
- '🏄🏾♂️'
- '🚣🏾♀️'
- '🚣🏾'
- '🚣🏾♂️'
- '🏊🏾♀️'
- '🏊🏾'
- '🏊🏾♂️'
- '⛹🏾♀️'
- '⛹🏾'
- '⛹🏾♂️'
- '🏋🏾♀️'
- '🏋🏾'
- '🏋🏾♂️'
- '🚴🏾♀️'
- '🚴🏾'
- '🚴🏾♂️'
- '🚵🏾♀️'
- '🚵🏾'
- '🚵🏾♂️'
- '🤸🏾♀️'
- '🤸🏾'
- '🤸🏾♂️'
- '🤽🏾♀️'
- '🤽🏾'
- '🤽🏾♂️'
- '🤾🏾♀️'
- '🤾🏾'
- '🤾🏾♂️'
- '🤹🏾♀️'
- '🤹🏾'
- '🤹🏾♂️'
- '🧘🏾♀️'
- '🧘🏾'
- '🧘🏾♂️'
- '🛀🏾'
- '🛌🏾'
- '👋🏿'
- '🤚🏿'
- '🖐🏿'
- '✋🏿'
- '🖖🏿'
- '👌🏿'
- '🤌🏿'
- '🤏🏿'
- '✌🏿'
- '🤞🏿'
- '🫰🏿'
- '🤟🏿'
- '🤘🏿'
- '🤙🏿'
- '🫵🏿'
- '🫱🏿'
- '🫲🏿'
- '🫳🏿'
- '🫴🏿'
- '👈🏿'
- '👉🏿'
- '👆🏿'
- '🖕🏿'
- '👇🏿'
- '☝🏿'
- '👍🏿'
- '👎🏿'
- '✊🏿'
- '👊🏿'
- '🤛🏿'
- '🤜🏿'
- '👏🏿'
- '🫶🏿'
- '🙌🏿'
- '👐🏿'
- '🤲🏿'
- '🙏🏿'
- '✍🏿'
- '🤳🏿'
- '💪🏿'
- '🦵🏿'
- '🦶🏿'
- '👂🏿'
- '🦻🏿'
- '👃🏿'
- '👶🏿'
- '👧🏿'
- '🧒🏿'
- '👦🏿'
- '👩🏿'
- '🧑🏿'
- '👨🏿'
- '👩🏿🦱'
- '🧑🏿🦱'
- '👨🏿🦱'
- '👩🏿🦰'
- '🧑🏿🦰'
- '👨🏿🦰'
- '👱🏿♀️'
- '👱🏿'
- '👱🏿♂️'
- '👩🏿🦳'
- '🧑🏿🦳'
- '👨🏿🦳'
- '👩🏿🦲'
- '🧑🏿🦲'
- '👨🏿🦲'
- '🧔🏿♀️'
- '🧔🏿'
- '🧔🏿♂️'
- '👵🏿'
- '🧓🏿'
- '👴🏿'
- '👲🏿'
- '👳🏿♀️'
- '👳🏿'
- '👳🏿♂️'
- '🧕🏿'
- '👮🏿♀️'
- '👮🏿'
- '👮🏿♂️'
- '👷🏿♀️'
- '👷🏿'
- '👷🏿♂️'
- '💂🏿♀️'
- '💂🏿'
- '💂🏿♂️'
- '🕵🏿♀️'
- '🕵🏿'
- '🕵🏿♂️'
- '👩🏿⚕️'
- '🧑🏿⚕️'
- '👨🏿⚕️'
- '👩🏿🌾'
- '🧑🏿🌾'
- '👨🏿🌾'
- '👩🏿🍳'
- '🧑🏿🍳'
- '👨🏿🍳'
- '👩🏿🎓'
- '🧑🏿🎓'
- '👨🏿🎓'
- '👩🏿🎤'
- '🧑🏿🎤'
- '👨🏿🎤'
- '👩🏿🏫'
- '🧑🏿🏫'
- '👨🏿🏫'
- '👩🏿🏭'
- '🧑🏿🏭'
- '👨🏿🏭'
- '👩🏿💻'
- '🧑🏿💻'
- '👨🏿💻'
- '👩🏿💼'
- '🧑🏿💼'
- '👨🏿💼'
- '👩🏿🔧'
- '🧑🏿🔧'
- '👨🏿🔧'
- '👩🏿🔬'
- '🧑🏿🔬'
- '👨🏿🔬'
- '👩🏿🎨'
- '🧑🏿🎨'
- '👨🏿🎨'
- '👩🏿🚒'
- '🧑🏿🚒'
- '👨🏿🚒'
- '👩🏿✈️'
- '🧑🏿✈️'
- '👨🏿✈️'
- '👩🏿🚀'
- '🧑🏿🚀'
- '👨🏿🚀'
- '👩🏿⚖️'
- '🧑🏿⚖️'
- '👨🏿⚖️'
- '👰🏿♀️'
- '👰🏿'
- '👰🏿♂️'
- '🤵🏿♀️'
- '🤵🏿'
- '🤵🏿♂️'
- '👸🏿'
- '🫅🏿'
- '🤴🏿'
- '🥷🏿'
- '🦸🏿♀️'
- '🦸🏿'
- '🦸🏿♂️'
- '🦹🏿♀️'
- '🦹🏿'
- '🦹🏿♂️'
- '🤶🏿'
- '🧑🏿🎄'
- '🎅🏿'
- '🧙🏿♀️'
- '🧙🏿'
- '🧙🏿♂️'
- '🧝🏿♀️'
- '🧝🏿'
- '🧝🏿♂️'
- '🧛🏿♀️'
- '🧛🏿'
- '🧛🏿♂️'
- '🧜🏿♀️'
- '🧜🏿'
- '🧜🏿♂️'
- '🧚🏿♀️'
- '🧚🏿'
- '🧚🏿♂️'
- '👼🏿'
- '🤰🏿'
- '🫄🏿'
- '🫃🏿'
- '🤱🏿'
- '👩🏿🍼'
- '🧑🏿🍼'
- '👨🏿🍼'
- '🙇🏿♀️'
- '🙇🏿'
- '🙇🏿♂️'
- '💁🏿♀️'
- '💁🏿'
- '💁🏿♂️'
- '🙅🏿♀️'
- '🙅🏿'
- '🙅🏿♂️'
- '🙆🏿♀️'
- '🙆🏿'
- '🙆🏿♂️'
- '🙋🏿♀️'
- '🙋🏿'
- '🙋🏿♂️'
- '🧏🏿♀️'
- '🧏🏿'
- '🧏🏿♂️'
- '🤦🏿♀️'
- '🤦🏿'
- '🤦🏿♂️'
- '🤷🏿♀️'
- '🤷🏿'
- '🤷🏿♂️'
- '🙎🏿♀️'
- '🙎🏿'
- '🙎🏿♂️'
- '🙍🏿♀️'
- '🙍🏿'
- '🙍🏿♂️'
- '💇🏿♀️'
- '💇🏿'
- '💇🏿♂️'
- '💆🏿♀️'
- '💆🏿'
- '💆🏿♂️'
- '🧖🏿♀️'
- '🧖🏿'
- '🧖🏿♂️'
- '💃🏿'
- '🕺🏿'
- '🕴🏿'
- '👩🏿🦽'
- '🧑🏿🦽'
- '👨🏿🦽'
- '👩🏿🦼'
- '🧑🏿🦼'
- '👨🏿🦼'
- '🚶🏿♀️'
- '🚶🏿'
- '🚶🏿♂️'
- '👩🏿🦯'
- '🧑🏿🦯'
- '👨🏿🦯'
- '🧎🏿♀️'
- '🧎🏿'
- '🧎🏿♂️'
- '🏃🏿♀️'
- '🏃🏿'
- '🏃🏿♂️'
- '🧍🏿♀️'
- '🧍🏿'
- '🧍🏿♂️'
- '👭🏿'
- '🧑🏿🤝🧑🏿'
- '👬🏿'
- '👫🏿'
- '🧗🏿♀️'
- '🧗🏿'
- '🧗🏿♂️'
- '🏇🏿'
- '🏂🏿'
- '🏌🏿♀️'
- '🏌🏿'
- '🏌🏿♂️'
- '🏄🏿♀️'
- '🏄🏿'
- '🏄🏿♂️'
- '🚣🏿♀️'
- '🚣🏿'
- '🚣🏿♂️'
- '🏊🏿♀️'
- '🏊🏿'
- '🏊🏿♂️'
- '⛹🏿♀️'
- '⛹🏿'
- '⛹🏿♂️'
- '🏋🏿♀️'
- '🏋🏿'
- '🏋🏿♂️'
- '🚴🏿♀️'
- '🚴🏿'
- '🚴🏿♂️'
- '🚵🏿♀️'
- '🚵🏿'
- '🚵🏿♂️'
- '🤸🏿♀️'
- '🤸🏿'
- '🤸🏿♂️'
- '🤽🏿♀️'
- '🤽🏿'
- '🤽🏿♂️'
- '🤾🏿♀️'
- '🤾🏿'
- '🤾🏿♂️'
- '🤹🏿♀️'
- '🤹🏿'
- '🤹🏿♂️'
- '🧘🏿♀️'
- '🧘🏿'
- '🧘🏿♂️'
- '🛀🏿'
- '🛌🏿'
- '🐶'
- '🐱'
- '🐭'
- '🐹'
- '🐰'
- '🦊'
- '🐻'
- '🐼'
- '🐻❄️'
- '🐨'
- '🐯'
- '🦁'
- '🐮'
- '🐷'
- '🐽'
- '🐸'
- '🐵'
- '🙈'
- '🙉'
- '🙊'
- '🐒'
- '🐔'
- '🐧'
- '🐦'
- '🐤'
- '🐣'
- '🐥'
condition: selection
The rule’s detection, its selections and fields in order of name. The whole rule, with its references and false positives, is on SigmaHQ, by @Kostastsale, TheDFIRReport, under the Detection Rule License 1.1. CmdID evaluates it on a command line alone: a test on what a command line cannot show, such as the parent process or the user, is not met.
None of the everyday examples and documented commands on CmdID’s program pages trips it. To see whether a command line does, paste it into CmdID.