Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 3

A Sigma rule for process creation on Windows, by @Kostastsale, TheDFIRReport.
high
What it looks for

its detection, as SigmaHQ writes it
detection:
  selection:
    CommandLine|contains:
      - '🦆'
      - '🦅'
      - '🦉'
      - '🦇'
      - '🐺'
      - '🐗'
      - '🐴'
      - '🦄'
      - '🐝'
      - '🪱'
      - '🐛'
      - '🦋'
      - '🐌'
      - '🐞'
      - '🐜'
      - '🪰'
      - '🪲'
      - '🪳'
      - '🦟'
      - '🦗'
      - '🕷'
      - '🕸'
      - '🦂'
      - '🐢'
      - '🐍'
      - '🦎'
      - '🦖'
      - '🦕'
      - '🐙'
      - '🦑'
      - '🦐'
      - '🦞'
      - '🦀'
      - '🪸'
      - '🐡'
      - '🐠'
      - '🐟'
      - '🐬'
      - '🐳'
      - '🐋'
      - '🦈'
      - '🐊'
      - '🐅'
      - '🐆'
      - '🦓'
      - '🦍'
      - '🦧'
      - '🦣'
      - '🐘'
      - '🦛'
      - '🦏'
      - '🐪'
      - '🐫'
      - '🦒'
      - '🦘'
      - '🦬'
      - '🐃'
      - '🐂'
      - '🐄'
      - '🐎'
      - '🐖'
      - '🐏'
      - '🐑'
      - '🦙'
      - '🐐'
      - '🦌'
      - '🐕'
      - '🐩'
      - '🦮'
      - '🐕‍🦺'
      - '🐈'
      - '🐈‍⬛'
      - '🪶'
      - '🐓'
      - '🦃'
      - '🦤'
      - '🦚'
      - '🦜'
      - '🦢'
      - '🦩'
      - '🕊'
      - '🐇'
      - '🦝'
      - '🦨'
      - '🦡'
      - '🦫'
      - '🦦'
      - '🦥'
      - '🐁'
      - '🐀'
      - '🐿'
      - '🦔'
      - '🐾'
      - '🐉'
      - '🐲'
      - '🌵'
      - '🎄'
      - '🌲'
      - '🌳'
      - '🌴'
      - '🪹'
      - '🪺'
      - '🪵'
      - '🌱'
      - '🌿'
      - '☘️'
      - '🍀'
      - '🎍'
      - '🪴'
      - '🎋'
      - '🍃'
      - '🍂'
      - '🍁'
      - '🍄'
      - '🐚'
      - '🪨'
      - '🌾'
      - '💐'
      - '🌷'
      - '🪷'
      - '🌹'
      - '🥀'
      - '🌺'
      - '🌸'
      - '🌼'
      - '🌻'
      - '🌞'
      - '🌝'
      - '🌛'
      - '🌜'
      - '🌚'
      - '🌕'
      - '🌖'
      - '🌗'
      - '🌘'
      - '🌑'
      - '🌒'
      - '🌓'
      - '🌔'
      - '🌙'
      - '🌎'
      - '🌍'
      - '🌏'
      - '🪐'
      - '💫'
      - '⭐️'
      - '🌟'
      - '✨'
      - '⚡️'
      - '☄️'
      - '💥'
      - '🔥'
      - '🌪'
      - '🌈'
      - '☀️'
      - '🌤'
      - '⛅️'
      - '🌥'
      - '☁️'
      - '🌦'
      - '🌧'
      - '⛈'
      - '🌩'
      - '🌨'
      - '❄️'
      - '☃️'
      - '⛄️'
      - '🌬'
      - '💨'
      - '💧'
      - '💦'
      - '🫧'
      - '☔️'
      - '☂️'
      - '🌊'
      - '🌫🍏'
      - '🍎'
      - '🍐'
      - '🍊'
      - '🍋'
      - '🍌'
      - '🍉'
      - '🍇'
      - '🍓'
      - '🫐'
      - '🍈'
      - '🍒'
      - '🍑'
      - '🥭'
      - '🍍'
      - '🥥'
      - '🥝'
      - '🍅'
      - '🍆'
      - '🥑'
      - '🥦'
      - '🥬'
      - '🥒'
      - '🌶'
      - '🫑'
      - '🌽'
      - '🥕'
      - '🫒'
      - '🧄'
      - '🧅'
      - '🥔'
      - '🍠'
      - '🫘'
      - '🥐'
      - '🥯'
      - '🍞'
      - '🥖'
      - '🥨'
      - '🧀'
      - '🥚'
      - '🍳'
      - '🧈'
      - '🥞'
      - '🧇'
      - '🥓'
      - '🥩'
      - '🍗'
      - '🍖'
      - '🦴'
      - '🌭'
      - '🍔'
      - '🍟'
      - '🍕'
      - '🫓'
      - '🥪'
      - '🥙'
      - '🧆'
      - '🌮'
      - '🌯'
      - '🫔'
      - '🥗'
      - '🥘'
      - '🫕'
      - '🥫'
      - '🍝'
      - '🍜'
      - '🍲'
      - '🍛'
      - '🍣'
      - '🍱'
      - '🥟'
      - '🦪'
      - '🍤'
      - '🍙'
      - '🍚'
      - '🍘'
      - '🍥'
      - '🥠'
      - '🥮'
      - '🍢'
      - '🍡'
      - '🍧'
      - '🍨'
      - '🍦'
      - '🥧'
      - '🧁'
      - '🍰'
      - '🎂'
      - '🍮'
      - '🍭'
      - '🍬'
      - '🍫'
      - '🍿'
      - '🍩'
      - '🍪'
      - '🌰'
      - '🥜'
      - '🍯'
      - '🥛'
      - '🍼'
      - '🫖'
      - '☕️'
      - '🍵'
      - '🧃'
      - '🥤'
      - '🧋'
      - '🫙'
      - '🍶'
      - '🍺'
      - '🍻'
      - '🥂'
      - '🍷'
      - '🫗'
      - '🥃'
      - '🍸'
      - '🍹'
      - '🧉'
      - '🍾'
      - '🧊'
      - '🥄'
      - '🍴'
      - '🍽'
      - '🥣'
      - '🥡'
      - '🥢'
      - '🧂'
      - '⚽️'
      - '🏀'
      - '🏈'
      - '⚾️'
      - '🥎'
      - '🎾'
      - '🏐'
      - '🏉'
      - '🥏'
      - '🎱'
      - '🪀'
      - '🏓'
      - '🏸'
      - '🏒'
      - '🏑'
      - '🥍'
      - '🏏'
      - '🪃'
      - '🥅'
      - '⛳️'
      - '🪁'
      - '🏹'
      - '🎣'
      - '🤿'
      - '🥊'
      - '🥋'
      - '🎽'
      - '🛹'
      - '🛼'
      - '🛷'
      - '⛸'
      - '🥌'
      - '🎿'
      - '⛷'
      - '🏂'
      - '🪂'
      - '🏋️‍♀️'
      - '🏋️'
      - '🏋️‍♂️'
      - '🤼‍♀️'
      - '🤼'
      - '🤼‍♂️'
      - '🤸‍♀️'
      - '🤸'
      - '🤸‍♂️'
      - '⛹️‍♀️'
      - '⛹️'
      - '⛹️‍♂️'
      - '🤺'
      - '🤾‍♀️'
      - '🤾'
      - '🤾‍♂️'
      - '🏌️‍♀️'
      - '🏌️'
      - '🏌️‍♂️'
      - '🏇'
      - '🧘‍♀️'
      - '🧘'
      - '🧘‍♂️'
      - '🏄‍♀️'
      - '🏄'
      - '🏄‍♂️'
      - '🏊‍♀️'
      - '🏊'
      - '🏊‍♂️'
      - '🤽‍♀️'
      - '🤽'
      - '🤽‍♂️'
      - '🚣‍♀️'
      - '🚣'
      - '🚣‍♂️'
      - '🧗‍♀️'
      - '🧗'
      - '🧗‍♂️'
      - '🚵‍♀️'
      - '🚵'
      - '🚵‍♂️'
      - '🚴‍♀️'
      - '🚴'
      - '🚴‍♂️'
      - '🏆'
      - '🥇'
      - '🥈'
      - '🥉'
      - '🏅'
      - '🎖'
      - '🏵'
      - '🎗'
      - '🎫'
      - '🎟'
      - '🎪'
      - '🤹'
      - '🤹‍♂️'
      - '🤹‍♀️'
      - '🎭'
      - '🩰'
      - '🎨'
      - '🎬'
      - '🎤'
      - '🎧'
      - '🎼'
      - '🎹'
      - '🥁'
      - '🪘'
      - '🎷'
      - '🎺'
      - '🪗'
      - '🎸'
      - '🪕'
      - '🎻'
      - '🎲'
      - '♟'
      - '🎯'
      - '🎳'
      - '🎮'
      - '🎰'
      - '🧩'
      - '🚗'
      - '🚕'
      - '🚙'
      - '🚌'
      - '🚎'
      - '🏎'
      - '🚓'
      - '🚑'
      - '🚒'
      - '🚐'
      - '🛻'
      - '🚚'
      - '🚛'
      - '🚜'
      - '🦯'
      - '🦽'
      - '🦼'
      - '🛴'
      - '🚲'
      - '🛵'
      - '🏍'
      - '🛺'
      - '🚨'
      - '🚔'
      - '🚍'
      - '🚘'
      - '🚖'
      - '🛞'
      - '🚡'
      - '🚠'
      - '🚟'
      - '🚃'
      - '🚋'
      - '🚞'
      - '🚝'
      - '🚄'
      - '🚅'
      - '🚈'
      - '🚂'
      - '🚆'
      - '🚇'
      - '🚊'
      - '🚉'
      - '✈️'
      - '🛫'
      - '🛬'
      - '🛩'
      - '💺'
      - '🛰'
      - '🚀'
      - '🛸'
      - '🚁'
      - '🛶'
      - '⛵️'
      - '🚤'
      - '🛥'
      - '🛳'
      - '⛴'
      - '🚢'
      - '⚓️'
      - '🛟'
      - '🪝'
      - '⛽️'
      - '🚧'
      - '🚦'
      - '🚥'
      - '🚏'
      - '🗺'
      - '🗿'
      - '🗽'
      - '🗼'
      - '🏰'
      - '🏯'
      - '🏟'
      - '🎡'
      - '🎢'
      - '🛝'
      - '🎠'
      - '⛲️'
      - '⛱'
      - '🏖'
      - '🏝'
      - '🏜'
      - '🌋'
      - '⛰'
      - '🏔'
      - '🗻'
      - '🏕'
      - '⛺️'
      - '🛖'
      - '🏠'
      - '🏡'
      - '🏘'
      - '🏚'
      - '🏗'
      - '🏭'
      - '🏢'
      - '🏬'
      - '🏣'
      - '🏤'
      - '🏥'
      - '🏦'
      - '🏨'
      - '🏪'
      - '🏫'
      - '🏩'
      - '💒'
      - '🏛'
      - '⛪️'
      - '🕌'
      - '🕍'
      - '🛕'
      - '🕋'
      - '⛩'
      - '🛤'
      - '🛣'
      - '🗾'
      - '🎑'
      - '🏞'
      - '🌅'
      - '🌄'
      - '🌠'
      - '🎇'
      - '🎆'
      - '🌇'
      - '🌆'
      - '🏙'
      - '🌃'
      - '🌌'
      - '🌉'
      - '🌁'
      - '⌚️'
      - '📱'
      - '📲'
      - '💻'
      - '⌨️'
      - '🖥'
      - '🖨'
      - '🖱'
      - '🖲'
      - '🕹'
      - '🗜'
      - '💽'
      - '💾'
      - '💿'
      - '📀'
      - '📼'
      - '📷'
      - '📸'
      - '📹'
      - '🎥'
      - '📽'
      - '🎞'
      - '📞'
      - '☎️'
      - '📟'
      - '📠'
      - '📺'
      - '📻'
      - '🎙'
      - '🎚'
      - '🎛'
      - '🧭'
      - '⏱'
      - '⏲'
      - '⏰'
      - '🕰'
      - '⌛️'
      - '⏳'
      - '📡'
      - '🔋'
      - '🪫'
      - '🔌'
      - '💡'
      - '🔦'
      - '🕯'
      - '🪔'
      - '🧯'
      - '🛢'
      - '💸'
      - '💵'
      - '💴'
      - '💶'
      - '💷'
      - '🪙'
      - '💰'
      - '💳'
      - '💎'
      - '⚖️'
      - '🪜'
      - '🧰'
      - '🪛'
      - '🔧'
      - '🔨'
      - '⚒'
      - '🛠'
      - '⛏'
      - '🪚'
      - '🔩'
      - '⚙️'
      - '🪤'
      - '🧱'
      - '⛓'
      - '🧲'
      - '🔫'
      - '💣'
      - '🧨'
      - '🪓'
      - '🔪'
      - '🗡'
      - '⚔️'
      - '🛡'
      - '🚬'
      - '⚰️'
      - '🪦'
      - '⚱️'
      - '🏺'
      - '🔮'
      - '📿'
      - '🧿'
      - '🪬'
      - '💈'
      - '⚗️'
      - '🔭'
      - '🔬'
      - '🕳'
      - '🩹'
      - '🩺'
      - '🩻'
      - '🩼'
      - '💊'
      - '💉'
      - '🩸'
      - '🧬'
      - '🦠'
      - '🧫'
      - '🧪'
      - '🌡'
      - '🧹'
      - '🪠'
      - '🧺'
      - '🧻'
      - '🚽'
      - '🚰'
      - '🚿'
      - '🛁'
      - '🛀'
      - '🧼'
      - '🪥'
      - '🪒'
      - '🧽'
      - '🪣'
      - '🧴'
      - '🛎'
      - '🔑'
      - '🗝'
      - '🚪'
      - '🪑'
      - '🛋'
      - '🛏'
      - '🛌'
      - '🧸'
      - '🪆'
      - '🖼'
      - '🪞'
      - '🪟'
      - '🛍'
      - '🛒'
      - '🎁'
      - '🎈'
      - '🎏'
      - '🎀'
      - '🪄'
      - '🪅'
      - '🎊'
      - '🎉'
      - '🪩'
      - '🎎'
      - '🏮'
      - '🎐'
      - '🧧'
      - '✉️'
      - '📩'
      - '📨'
      - '📧'
      - '💌'
      - '📥'
      - '📤'
      - '📦'
      - '🏷'
      - '🪧'
      - '📪'
      - '📫'
      - '📬'
      - '📭'
      - '📮'
      - '📯'
      - '📜'
      - '📃'
      - '📄'
      - '📑'
      - '🧾'
      - '📊'
      - '📈'
      - '📉'
      - '🗒'
      - '🗓'
      - '📆'
      - '📅'
      - '🗑'
      - '🪪'
      - '📇'
      - '🗃'
      - '🗳'
      - '🗄'
      - '📋'
      - '📁'
      - '📂'
      - '🗂'
      - '🗞'
      - '📰'
      - '📓'
      - '📔'
      - '📒'
      - '📕'
      - '📗'
      - '📘'
      - '📙'
      - '📚'
      - '📖'
      - '🔖'
      - '🧷'
      - '🔗'
      - '📎'
      - '🖇'
      - '📐'
      - '📏'
      - '🧮'
      - '📌'
      - '📍'
      - '✂️'
      - '🖊'
      - '🖋'
      - '✒️'
      - '🖌'
      - '🖍'
      - '📝'
      - '✏️'
      - '🔍'
      - '🔎'
      - '🔏'
      - '🔐'
      - '🔒'
      - '🔓❤️'
      - '🧡'
      - '💛'
      - '💚'
      - '💙'
      - '💜'
      - '🖤'
      - '🤍'
      - '🤎'
      - '❤️‍🔥'
      - '❤️‍🩹'
      - '💔'
      - '❣️'
      - '💕'
      - '💞'
      - '💓'
      - '💗'
      - '💖'
      - '💘'
      - '💝'
      - '💟'
      - '☮️'
      - '✝️'
      - '☪️'
      - '🕉'
      - '☸️'
      - '✡️'
      - '🔯'
      - '🕎'
      - '☯️'
      - '☦️'
      - '🛐'
      - '⛎'
      - '♈️'
      - '♉️'
      - '♊️'
      - '♋️'
      - '♌️'
      - '♍️'
      - '♎️'
      - '♏️'
      - '♐️'
      - '♑️'
      - '♒️'
      - '♓️'
      - '🆔'
      - '⚛️'
      - '🉑'
      - '☢️'
      - '☣️'
      - '📴'
      - '📳'
      - '🈶'
      - '🈚️'
      - '🈸'
      - '🈺'
      - '🈷️'
      - '✴️'
      - '🆚'
      - '💮'
      - '🉐'
      - '㊙️'
      - '㊗️'
      - '🈴'
      - '🈵'
      - '🈹'
      - '🈲'
      - '🅰️'
      - '🅱️'
      - '🆎'
      - '🆑'
      - '🅾️'
      - '🆘'
      - '❌'
      - '⭕️'
      - '🛑'
      - '⛔️'
      - '📛'
      - '🚫'
      - '💯'
      - '💢'
      - '♨️'
      - '🚷'
      - '🚯'
      - '🚳'
      - '🚱'
      - '🔞'
      - '📵'
      - '🚭'
      - '❗️'
      - '❕'
      - '❓'
      - '❔'
      - '‼️'
      - '⁉️'
      - '🔅'
      - '🔆'
      - '〽️'
      - '⚠️'
      - '🚸'
      - '🔱'
      - '⚜️'
      - '🔰'
      - '♻️'
      - '✅'
      - '🈯️'
      - '💹'
      - '❇️'
      - '✳️'
      - '❎'
      - '🌐'
      - '💠'
      - 'Ⓜ️'
      - '🌀'
      - '💤'
      - '🏧'
      - '🚾'
      - '♿️'
      - '🅿️'
      - '🛗'
      - '🈳'
      - '🈂️'
      - '🛂'
      - '🛃'
      - '🛄'
      - '🛅'
      - '🚹'
      - '🚺'
      - '🚼'
      - '⚧'
      - '🚻'
      - '🚮'
      - '🎦'
      - '📶'
      - '🈁'
      - '🔣'
      - 'ℹ️'
      - '🔤'
      - '🔡'
      - '🔠'
      - '🆖'
      - '🆗'
      - '🆙'
      - '🆒'
      - '🆕'
      - '🆓'
      - '0️⃣'
      - '1️⃣'
      - '2️⃣'
      - '3️⃣'
      - '4️⃣'
      - '5️⃣'
      - '6️⃣'
      - '7️⃣'
      - '8️⃣'
      - '9️⃣'
      - '🔟'
      - '🔢'
      - '#️⃣'
      - '*️⃣'
      - '⏏️'
      - '▶️'
      - '⏸'
      - '⏯'
      - '⏹'
      - '⏺'
      - '⏭'
      - '⏮'
      - '⏩'
      - '⏪'
      - '⏫'
      - '⏬'
      - '◀️'
      - '🔼'
      - '🔽'
      - '➡️'
      - '⬅️'
      - '⬆️'
      - '⬇️'
      - '↗️'
      - '↘️'
      - '↙️'
      - '↖️'
      - '↕️'
      - '↔️'
      - '↪️'
      - '↩️'
      - '⤴️'
      - '⤵️'
      - '🔀'
      - '🔁'
      - '🔂'
      - '🔄'
      - '🔃'
      - '🎵'
      - '🎶'
      - '➕'
      - '➖'
      - '➗'
      - '✖️'
      - '🟰'
      - '♾'
      - '💲'
      - '💱'
      - '™️'
      - '©️'
      - '®️'
      - '〰️'
      - '➰'
      - '➿'
      - '🔚'
      - '🔙'
      - '🔛'
      - '🔝'
      - '🔜'
      - '✔️'
      - '☑️'
      - '🔘'
      - '🔴'
      - '🟠'
      - '🟡'
      - '🟢'
      - '🔵'
      - '🟣'
      - '⚫️'
      - '⚪️'
      - '🟤'
      - '🔺'
      - '🔻'
  condition: selection
The rule’s detection, its selections and fields in order of name. The whole rule, with its references and false positives, is on SigmaHQ, by @Kostastsale, TheDFIRReport, under the Detection Rule License 1.1. CmdID evaluates it on a command line alone: a test on what a command line cannot show, such as the parent process or the user, is not met.
None of the everyday examples and documented commands on CmdID’s program pages trips it. To see whether a command line does, paste it into CmdID.