Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 4
A Sigma rule for process creation on Windows, by @Kostastsale, TheDFIRReport.
high
What it looks for
detection:
selection:
CommandLine|contains:
- '๐ธ'
- '๐น'
- '๐ถ'
- '๐ท'
- '๐ณ'
- '๐ฒ'
- 'โช๏ธ'
- 'โซ๏ธ'
- 'โพ๏ธ'
- 'โฝ๏ธ'
- 'โผ๏ธ'
- 'โป๏ธ'
- '๐ฅ'
- '๐ง'
- '๐จ'
- '๐ฉ'
- '๐ฆ'
- '๐ช'
- 'โฌ๏ธ'
- 'โฌ๏ธ'
- '๐ซ'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐ฃ'
- '๐ข'
- '๐โ๐จ'
- '๐ฌ'
- '๐ญ'
- '๐ฏ'
- 'โ ๏ธ'
- 'โฃ๏ธ'
- 'โฅ๏ธ'
- 'โฆ๏ธ'
- '๐'
- '๐ด'
- '๐๏ธ'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐ '
- '๐ก'
- '๐ข'
- '๐ฃ'
- '๐ค'
- '๐ฅ'
- '๐ฆ'
- '๐งโข'
- 'โฃ'
- 'โค'
- 'โฅ'
- 'โฆ'
- 'โง'
- 'โ
'
- 'โ'
- 'โฏ'
- 'โก๏ธ'
- 'โฉ'
- 'โช'
- 'โซ'
- 'โฌ'
- 'โญ'
- 'โฎ'
- 'โถ'
- 'โท'
- 'โต'
- 'โธ'
- 'โน'
- 'โ'
- 'โ'
- 'โน'
- 'โจ'
- 'โพ'
- 'โพ'
- 'โข'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ ๏ธ'
- 'โฃ๏ธ'
- 'โฅ๏ธ'
- 'โฆ๏ธ'
- 'โค'
- 'โง'
- 'โก'
- 'โข'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- 'โ
'
- '๐ '
- 'โ'
- 'โ'
- 'โ'
- 'โ'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐
'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐'
- '๐๐ณ๏ธ'
- '๐ด'
- '๐'
- '๐ฉ'
- '๐ณ๏ธโ๐'
- '๐ณ๏ธโโง๏ธ'
- '๐ดโโ ๏ธ'
- '๐ฆ๐ซ'
- '๐ฆ๐ฝ'
- '๐ฆ๐ฑ'
- '๐ฉ๐ฟ'
- '๐ฆ๐ธ'
- '๐ฆ๐ฉ'
- '๐ฆ๐ด'
- '๐ฆ๐ฎ'
- '๐ฆ๐ถ'
- '๐ฆ๐ฌ'
- '๐ฆ๐ท'
- '๐ฆ๐ฒ'
- '๐ฆ๐ผ'
- '๐ฆ๐บ'
- '๐ฆ๐น'
- '๐ฆ๐ฟ'
- '๐ง๐ธ'
- '๐ง๐ญ'
- '๐ง๐ฉ'
- '๐ง๐ง'
- '๐ง๐พ'
- '๐ง๐ช'
- '๐ง๐ฟ'
- '๐ง๐ฏ'
- '๐ง๐ฒ'
- '๐ง๐น'
- '๐ง๐ด'
- '๐ง๐ฆ'
- '๐ง๐ผ'
- '๐ง๐ท'
- '๐ฎ๐ด'
- '๐ป๐ฌ'
- '๐ง๐ณ'
- '๐ง๐ฌ'
- '๐ง๐ซ'
- '๐ง๐ฎ'
- '๐ฐ๐ญ'
- '๐จ๐ฒ'
- '๐จ๐ฆ'
- '๐ฎ๐จ'
- '๐จ๐ป'
- '๐ง๐ถ'
- '๐ฐ๐พ'
- '๐จ๐ซ'
- '๐น๐ฉ'
- '๐จ๐ฑ'
- '๐จ๐ณ'
- '๐จ๐ฝ'
- '๐จ๐จ'
- '๐จ๐ด'
- '๐ฐ๐ฒ'
- '๐จ๐ฌ'
- '๐จ๐ฉ'
- '๐จ๐ฐ'
- '๐จ๐ท'
- '๐จ๐ฎ'
- '๐ญ๐ท'
- '๐จ๐บ'
- '๐จ๐ผ'
- '๐จ๐พ'
- '๐จ๐ฟ'
- '๐ฉ๐ฐ'
- '๐ฉ๐ฏ'
- '๐ฉ๐ฒ'
- '๐ฉ๐ด'
- '๐ช๐จ'
- '๐ช๐ฌ'
- '๐ธ๐ป'
- '๐ฌ๐ถ'
- '๐ช๐ท'
- '๐ช๐ช'
- '๐ช๐น'
- '๐ช๐บ'
- '๐ซ๐ฐ'
- '๐ซ๐ด'
- '๐ซ๐ฏ'
- '๐ซ๐ฎ'
- '๐ซ๐ท'
- '๐ฌ๐ซ'
- '๐ต๐ซ'
- '๐น๐ซ'
- '๐ฌ๐ฆ'
- '๐ฌ๐ฒ'
- '๐ฌ๐ช'
- '๐ฉ๐ช'
- '๐ฌ๐ญ'
- '๐ฌ๐ฎ'
- '๐ฌ๐ท'
- '๐ฌ๐ฑ'
- '๐ฌ๐ฉ'
- '๐ฌ๐ต'
- '๐ฌ๐บ'
- '๐ฌ๐น'
- '๐ฌ๐ฌ'
- '๐ฌ๐ณ'
- '๐ฌ๐ผ'
- '๐ฌ๐พ'
- '๐ญ๐น'
- '๐ญ๐ณ'
- '๐ญ๐ฐ'
- '๐ญ๐บ'
- '๐ฎ๐ธ'
- '๐ฎ๐ณ'
- '๐ฎ๐ฉ'
- '๐ฎ๐ท'
- '๐ฎ๐ถ'
- '๐ฎ๐ช'
- '๐ฎ๐ฒ'
- '๐ฎ๐ฑ'
- '๐ฎ๐น'
- '๐ฏ๐ฒ'
- '๐ฏ๐ต'
- '๐'
- '๐ฏ๐ช'
- '๐ฏ๐ด'
- '๐ฐ๐ฟ'
- '๐ฐ๐ช'
- '๐ฐ๐ฎ'
- '๐ฝ๐ฐ'
- '๐ฐ๐ผ'
- '๐ฐ๐ฌ'
- '๐ฑ๐ฆ'
- '๐ฑ๐ป'
- '๐ฑ๐ง'
- '๐ฑ๐ธ'
- '๐ฑ๐ท'
- '๐ฑ๐พ'
- '๐ฑ๐ฎ'
- '๐ฑ๐น'
- '๐ฑ๐บ'
- '๐ฒ๐ด'
- '๐ฒ๐ฐ'
- '๐ฒ๐ฌ'
- '๐ฒ๐ผ'
- '๐ฒ๐พ'
- '๐ฒ๐ป'
- '๐ฒ๐ฑ'
- '๐ฒ๐น'
- '๐ฒ๐ญ'
- '๐ฒ๐ถ'
- '๐ฒ๐ท'
- '๐ฒ๐บ'
- '๐พ๐น'
- '๐ฒ๐ฝ'
- '๐ซ๐ฒ'
- '๐ฒ๐ฉ'
- '๐ฒ๐จ'
- '๐ฒ๐ณ'
- '๐ฒ๐ช'
- '๐ฒ๐ธ'
- '๐ฒ๐ฆ'
- '๐ฒ๐ฟ'
- '๐ฒ๐ฒ'
- '๐ณ๐ฆ'
- '๐ณ๐ท'
- '๐ณ๐ต'
- '๐ณ๐ฑ'
- '๐ณ๐จ'
- '๐ณ๐ฟ'
- '๐ณ๐ฎ'
- '๐ณ๐ช'
- '๐ณ๐ฌ'
- '๐ณ๐บ'
- '๐ณ๐ซ'
- '๐ฐ๐ต'
- '๐ฒ๐ต'
- '๐ณ๐ด'
- '๐ด๐ฒ'
- '๐ต๐ฐ'
- '๐ต๐ผ'
- '๐ต๐ธ'
- '๐ต๐ฆ'
- '๐ต๐ฌ'
- '๐ต๐พ'
- '๐ต๐ช'
- '๐ต๐ญ'
- '๐ต๐ณ'
- '๐ต๐ฑ'
- '๐ต๐น'
- '๐ต๐ท'
- '๐ถ๐ฆ'
- '๐ท๐ช'
- '๐ท๐ด'
- '๐ท๐บ'
- '๐ท๐ผ'
- '๐ผ๐ธ'
- '๐ธ๐ฒ'
- '๐ธ๐ฆ'
- '๐ธ๐ณ'
- '๐ท๐ธ'
- '๐ธ๐จ'
- '๐ธ๐ฑ'
- '๐ธ๐ฌ'
- '๐ธ๐ฝ'
- '๐ธ๐ฐ'
- '๐ธ๐ฎ'
- '๐ฌ๐ธ'
- '๐ธ๐ง'
- '๐ธ๐ด'
- '๐ฟ๐ฆ'
- '๐ฐ๐ท'
- '๐ธ๐ธ'
- '๐ช๐ธ'
- '๐ฑ๐ฐ'
- '๐ง๐ฑ'
- '๐ธ๐ญ'
- '๐ฐ๐ณ'
- '๐ฑ๐จ'
- '๐ต๐ฒ'
- '๐ป๐จ'
- '๐ธ๐ฉ'
- '๐ธ๐ท'
- '๐ธ๐ฟ'
- '๐ธ๐ช'
- '๐จ๐ญ'
- '๐ธ๐พ'
- '๐น๐ผ'
- '๐น๐ฏ'
- '๐น๐ฟ'
- '๐น๐ญ'
- '๐น๐ฑ'
- '๐น๐ฌ'
- '๐น๐ฐ'
- '๐น๐ด'
- '๐น๐น'
- '๐น๐ณ'
- '๐น๐ท'
- '๐น๐ฒ'
- '๐น๐จ'
- '๐น๐ป'
- '๐ป๐ฎ'
- '๐บ๐ฌ'
- '๐บ๐ฆ'
- '๐ฆ๐ช'
- '๐ฌ๐ง'
- '๐ด๓ ง๓ ข๓ ฅ๓ ฎ๓ ง๓ ฟ'
- '๐ด๓ ง๓ ข๓ ณ๓ ฃ๓ ด๓ ฟ'
- '๐ด๓ ง๓ ข๓ ท๓ ฌ๓ ณ๓ ฟ'
- '๐บ๐ณ'
- '๐บ๐ธ'
- '๐บ๐พ'
- '๐บ๐ฟ'
- '๐ป๐บ'
- '๐ป๐ฆ'
- '๐ป๐ช'
- '๐ป๐ณ'
- '๐ผ๐ซ'
- '๐ช๐ญ'
- '๐พ๐ช'
- '๐ฟ๐ฒ'
- '๐ฟ๐ผ๐ซ '
- '๐ซข'
- '๐ซฃ'
- '๐ซก'
- '๐ซฅ'
- '๐ซค'
- '๐ฅน'
- '๐ซฑ'
- '๐ซฑ๐ป'
- '๐ซฑ๐ผ'
- '๐ซฑ๐ฝ'
- '๐ซฑ๐พ'
- '๐ซฑ๐ฟ'
- '๐ซฒ'
- '๐ซฒ๐ป'
- '๐ซฒ๐ผ'
- '๐ซฒ๐ฝ'
- '๐ซฒ๐พ'
- '๐ซฒ๐ฟ'
- '๐ซณ'
- '๐ซณ๐ป'
- '๐ซณ๐ผ'
- '๐ซณ๐ฝ'
- '๐ซณ๐พ'
- '๐ซณ๐ฟ'
- '๐ซด'
- '๐ซด๐ป'
- '๐ซด๐ผ'
- '๐ซด๐ฝ'
- '๐ซด๐พ'
- '๐ซด๐ฟ'
- '๐ซฐ'
- '๐ซฐ๐ป'
- '๐ซฐ๐ผ'
- '๐ซฐ๐ฝ'
- '๐ซฐ๐พ'
- '๐ซฐ๐ฟ'
- '๐ซต'
- '๐ซต๐ป'
- '๐ซต๐ผ'
- '๐ซต๐ฝ'
- '๐ซต๐พ'
- '๐ซต๐ฟ'
- '๐ซถ'
- '๐ซถ๐ป'
- '๐ซถ๐ผ'
- '๐ซถ๐ฝ'
- '๐ซถ๐พ'
- '๐ซถ๐ฟ'
- '๐ค๐ป'
- '๐ค๐ผ'
- '๐ค๐ฝ'
- '๐ค๐พ'
- '๐ค๐ฟ'
- '๐ซฑ๐ปโ๐ซฒ๐ผ'
- '๐ซฑ๐ปโ๐ซฒ๐ฝ'
- '๐ซฑ๐ปโ๐ซฒ๐พ'
- '๐ซฑ๐ปโ๐ซฒ๐ฟ'
- '๐ซฑ๐ผโ๐ซฒ๐ป'
- '๐ซฑ๐ผโ๐ซฒ๐ฝ'
- '๐ซฑ๐ผโ๐ซฒ๐พ'
- '๐ซฑ๐ผโ๐ซฒ๐ฟ'
- '๐ซฑ๐ฝโ๐ซฒ๐ป'
- '๐ซฑ๐ฝโ๐ซฒ๐ผ'
- '๐ซฑ๐ฝโ๐ซฒ๐พ'
- '๐ซฑ๐ฝโ๐ซฒ๐ฟ'
- '๐ซฑ๐พโ๐ซฒ๐ป'
- '๐ซฑ๐พโ๐ซฒ๐ผ'
- '๐ซฑ๐พโ๐ซฒ๐ฝ'
- '๐ซฑ๐พโ๐ซฒ๐ฟ'
- '๐ซฑ๐ฟโ๐ซฒ๐ป'
- '๐ซฑ๐ฟโ๐ซฒ๐ผ'
- '๐ซฑ๐ฟโ๐ซฒ๐ฝ'
- '๐ซฑ๐ฟโ๐ซฒ๐พ'
- '๐ซฆ'
- '๐ซ
'
- '๐ซ
๐ป'
- '๐ซ
๐ผ'
- '๐ซ
๐ฝ'
- '๐ซ
๐พ'
- '๐ซ
๐ฟ'
- '๐ซ'
- '๐ซ๐ป'
- '๐ซ๐ผ'
- '๐ซ๐ฝ'
- '๐ซ๐พ'
- '๐ซ๐ฟ'
- '๐ซ'
- '๐ซ๐ป'
- '๐ซ๐ผ'
- '๐ซ๐ฝ'
- '๐ซ๐พ'
- '๐ซ๐ฟ'
- '๐ง'
- '๐ชธ'
- '๐ชท'
- '๐ชน'
- '๐ชบ'
- '๐ซ'
- '๐ซ'
- '๐ซ'
- '๐'
- '๐'
- '๐'
- '๐ชฌ'
- '๐ชฉ'
- '๐ชซ'
- '๐ฉผ'
- '๐ฉป'
- '๐ซง'
- '๐ชช'
- '๐ฐ'
- '๐ฎโ๐จ'
- '๐ตโ๐ซ'
- '๐ถโ๐ซ๏ธ'
- 'โค๏ธโ๐ฅ'
- 'โค๏ธโ๐ฉน'
- '๐งโโ๏ธ'
- '๐ง๐ปโโ๏ธ'
- '๐ง๐ผโโ๏ธ'
- '๐ง๐ฝโโ๏ธ'
- '๐ง๐พโโ๏ธ'
- '๐ง๐ฟโโ๏ธ'
- '๐งโโ๏ธ'
- '๐ง๐ปโโ๏ธ'
- '๐ง๐ผโโ๏ธ'
- '๐ง๐ฝโโ๏ธ'
- '๐ง๐พโโ๏ธ'
- '๐ง๐ฟโโ๏ธ'
- '๐๐ป'
- '๐๐ผ'
- '๐๐ฝ'
- '๐๐พ'
- '๐๐ฟ'
- '๐๐ป'
- '๐๐ผ'
- '๐๐ฝ'
- '๐๐พ'
- '๐๐ฟ'
- '๐จ๐ปโโค๏ธโ๐จ๐ป'
- '๐จ๐ปโโค๏ธโ๐จ๐ผ'
- '๐จ๐ปโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ปโโค๏ธโ๐จ๐พ'
- '๐จ๐ปโโค๏ธโ๐จ๐ฟ'
- '๐จ๐ผโโค๏ธโ๐จ๐ป'
- '๐จ๐ผโโค๏ธโ๐จ๐ผ'
- '๐จ๐ผโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ผโโค๏ธโ๐จ๐พ'
- '๐จ๐ผโโค๏ธโ๐จ๐ฟ'
- '๐จ๐ฝโโค๏ธโ๐จ๐ป'
- '๐จ๐ฝโโค๏ธโ๐จ๐ผ'
- '๐จ๐ฝโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ฝโโค๏ธโ๐จ๐พ'
- '๐จ๐ฝโโค๏ธโ๐จ๐ฟ'
- '๐จ๐พโโค๏ธโ๐จ๐ป'
- '๐จ๐พโโค๏ธโ๐จ๐ผ'
- '๐จ๐พโโค๏ธโ๐จ๐ฝ'
- '๐จ๐พโโค๏ธโ๐จ๐พ'
- '๐จ๐พโโค๏ธโ๐จ๐ฟ'
- '๐จ๐ฟโโค๏ธโ๐จ๐ป'
- '๐จ๐ฟโโค๏ธโ๐จ๐ผ'
- '๐จ๐ฟโโค๏ธโ๐จ๐ฝ'
- '๐จ๐ฟโโค๏ธโ๐จ๐พ'
- '๐จ๐ฟโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐จ๐ป'
- '๐ฉ๐พโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐จ๐พ'
- '๐ฉ๐พโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐พโโค๏ธโ๐ฉ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐จ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐ฉ๐ฟ'
- '๐ง๐ปโโค๏ธโ๐ง๐ผ'
- '๐ง๐ปโโค๏ธโ๐ง๐ฝ'
- '๐ง๐ปโโค๏ธโ๐ง๐พ'
- '๐ง๐ปโโค๏ธโ๐ง๐ฟ'
- '๐ง๐ผโโค๏ธโ๐ง๐ป'
- '๐ง๐ผโโค๏ธโ๐ง๐ฝ'
- '๐ง๐ผโโค๏ธโ๐ง๐พ'
- '๐ง๐ผโโค๏ธโ๐ง๐ฟ'
- '๐ง๐ฝโโค๏ธโ๐ง๐ป'
- '๐ง๐ฝโโค๏ธโ๐ง๐ผ'
- '๐ง๐ฝโโค๏ธโ๐ง๐พ'
- '๐ง๐ฝโโค๏ธโ๐ง๐ฟ'
- '๐ง๐พโโค๏ธโ๐ง๐ป'
- '๐ง๐พโโค๏ธโ๐ง๐ผ'
- '๐ง๐พโโค๏ธโ๐ง๐ฝ'
- '๐ง๐พโโค๏ธโ๐ง๐ฟ'
- '๐ง๐ฟโโค๏ธโ๐ง๐ป'
- '๐ง๐ฟโโค๏ธโ๐ง๐ผ'
- '๐ง๐ฟโโค๏ธโ๐ง๐ฝ'
- '๐ง๐ฟโโค๏ธโ๐ง๐พ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ปโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ผโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ฝโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐พโโค๏ธโ๐โ๐จ๐ฟ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ป'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ผ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ฝ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐พ'
- '๐จ๐ฟโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐พโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ฟ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ป'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ผ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ฝ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐พ'
- '๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ฟ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐พ'
- '๐ง๐ปโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐พ'
- '๐ง๐ผโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐พ'
- '๐ง๐ฝโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐พโโค๏ธโ๐โ๐ง๐ฟ'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐ป'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐ผ'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐ฝ'
- '๐ง๐ฟโโค๏ธโ๐โ๐ง๐พ'
condition: selection
The ruleโs detection, its selections and fields in order of name. The whole rule, with its references and false positives, is on SigmaHQ, by @Kostastsale, TheDFIRReport, under the Detection Rule License 1.1. CmdID evaluates it on a command line alone: a test on what a command line cannot show, such as the parent process or the user, is not met.
None of the everyday examples and documented commands on CmdIDโs program pages trips it. To see whether a command line does, paste it into CmdID.