Windows Process Creation: Command Line Contains Emoji Characters
Alerts on Windows process executions whose command line includes emoji/symbol characters from a predefined list.
FreeUnreviewedSigmahighv1
windows-process-creation-command-line-contains-emoji-characters-225274c4
title: "Windows Process Creation: Command Line Contains Emoji Characters"
id: 35b6ca50-1c07-4e26-baa4-729462c1a874
status: test
description: This rule flags Windows process creation events where the command line contains one of a large set of specific emoji characters and emoji-like symbols. Attackers may use unusual Unicode characters in command lines to hinder readability, evade simple text-based detections, or blend into operator-generated output. The detection relies on Windows process creation telemetry and matches directly against the command line string contents.
author: "@Kostastsale, TheDFIRReport, Huntrule Team"
references:
- Internal Research
- https://github.com/SigmaHQ/sigma/blob/master/rules/windows/process_creation/proc_creation_win_susp_emoji_usage_in_cli_4.yml
tags:
- attack.stealth
date: 2022-12-05
logsource:
product: windows
category: process_creation
detection:
selection:
CommandLine|contains:
- ๐ธ
- ๐น
- ๐ถ
- ๐ท
- ๐ณ
- ๐ฒ
- โช๏ธ
- โซ๏ธ
- โพ๏ธ
- โฝ๏ธ
- โผ๏ธ
- โป๏ธ
- ๐ฅ
- ๐ง
- ๐จ
- ๐ฉ
- ๐ฆ
- ๐ช
- โฌ๏ธ
- โฌ๏ธ
- ๐ซ
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐ฃ
- ๐ข
- ๐โ๐จ
- ๐ฌ
- ๐ญ
- ๐ฏ
- โ ๏ธ
- โฃ๏ธ
- โฅ๏ธ
- โฆ๏ธ
- ๐
- ๐ด
- ๐๏ธ
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐ก
- ๐ข
- ๐ฃ
- ๐ค
- ๐ฅ
- ๐ฆ
- ๐งโข
- โฃ
- โค
- โฅ
- โฆ
- โง
- โ
- โ
- โฏ
- โก๏ธ
- โฉ
- โช
- โซ
- โฌ
- โญ
- โฎ
- โถ
- โท
- โต
- โธ
- โน
- โ
- โ
- โน
- โจ
- โพ
- โพ
- โข
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ ๏ธ
- โฃ๏ธ
- โฅ๏ธ
- โฆ๏ธ
- โค
- โง
- โก
- โข
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- โ
- ๐
- โ
- โ
- โ
- โ
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐
- ๐๐ณ๏ธ
- ๐ด
- ๐
- ๐ฉ
- ๐ณ๏ธโ๐
- ๐ณ๏ธโโง๏ธ
- ๐ดโโ ๏ธ
- ๐ฆ๐ซ
- ๐ฆ๐ฝ
- ๐ฆ๐ฑ
- ๐ฉ๐ฟ
- ๐ฆ๐ธ
- ๐ฆ๐ฉ
- ๐ฆ๐ด
- ๐ฆ๐ฎ
- ๐ฆ๐ถ
- ๐ฆ๐ฌ
- ๐ฆ๐ท
- ๐ฆ๐ฒ
- ๐ฆ๐ผ
- ๐ฆ๐บ
- ๐ฆ๐น
- ๐ฆ๐ฟ
- ๐ง๐ธ
- ๐ง๐ญ
- ๐ง๐ฉ
- ๐ง๐ง
- ๐ง๐พ
- ๐ง๐ช
- ๐ง๐ฟ
- ๐ง๐ฏ
- ๐ง๐ฒ
- ๐ง๐น
- ๐ง๐ด
- ๐ง๐ฆ
- ๐ง๐ผ
- ๐ง๐ท
- ๐ฎ๐ด
- ๐ป๐ฌ
- ๐ง๐ณ
- ๐ง๐ฌ
- ๐ง๐ซ
- ๐ง๐ฎ
- ๐ฐ๐ญ
- ๐จ๐ฒ
- ๐จ๐ฆ
- ๐ฎ๐จ
- ๐จ๐ป
- ๐ง๐ถ
- ๐ฐ๐พ
- ๐จ๐ซ
- ๐น๐ฉ
- ๐จ๐ฑ
- ๐จ๐ณ
- ๐จ๐ฝ
- ๐จ๐จ
- ๐จ๐ด
- ๐ฐ๐ฒ
- ๐จ๐ฌ
- ๐จ๐ฉ
- ๐จ๐ฐ
- ๐จ๐ท
- ๐จ๐ฎ
- ๐ญ๐ท
- ๐จ๐บ
- ๐จ๐ผ
- ๐จ๐พ
- ๐จ๐ฟ
- ๐ฉ๐ฐ
- ๐ฉ๐ฏ
- ๐ฉ๐ฒ
- ๐ฉ๐ด
- ๐ช๐จ
- ๐ช๐ฌ
- ๐ธ๐ป
- ๐ฌ๐ถ
- ๐ช๐ท
- ๐ช๐ช
- ๐ช๐น
- ๐ช๐บ
- ๐ซ๐ฐ
- ๐ซ๐ด
- ๐ซ๐ฏ
- ๐ซ๐ฎ
- ๐ซ๐ท
- ๐ฌ๐ซ
- ๐ต๐ซ
- ๐น๐ซ
- ๐ฌ๐ฆ
- ๐ฌ๐ฒ
- ๐ฌ๐ช
- ๐ฉ๐ช
- ๐ฌ๐ญ
- ๐ฌ๐ฎ
- ๐ฌ๐ท
- ๐ฌ๐ฑ
- ๐ฌ๐ฉ
- ๐ฌ๐ต
- ๐ฌ๐บ
- ๐ฌ๐น
- ๐ฌ๐ฌ
- ๐ฌ๐ณ
- ๐ฌ๐ผ
- ๐ฌ๐พ
- ๐ญ๐น
- ๐ญ๐ณ
- ๐ญ๐ฐ
- ๐ญ๐บ
- ๐ฎ๐ธ
- ๐ฎ๐ณ
- ๐ฎ๐ฉ
- ๐ฎ๐ท
- ๐ฎ๐ถ
- ๐ฎ๐ช
- ๐ฎ๐ฒ
- ๐ฎ๐ฑ
- ๐ฎ๐น
- ๐ฏ๐ฒ
- ๐ฏ๐ต
- ๐
- ๐ฏ๐ช
- ๐ฏ๐ด
- ๐ฐ๐ฟ
- ๐ฐ๐ช
- ๐ฐ๐ฎ
- ๐ฝ๐ฐ
- ๐ฐ๐ผ
- ๐ฐ๐ฌ
- ๐ฑ๐ฆ
- ๐ฑ๐ป
- ๐ฑ๐ง
- ๐ฑ๐ธ
- ๐ฑ๐ท
- ๐ฑ๐พ
- ๐ฑ๐ฎ
- ๐ฑ๐น
- ๐ฑ๐บ
- ๐ฒ๐ด
- ๐ฒ๐ฐ
- ๐ฒ๐ฌ
- ๐ฒ๐ผ
- ๐ฒ๐พ
- ๐ฒ๐ป
- ๐ฒ๐ฑ
- ๐ฒ๐น
- ๐ฒ๐ญ
- ๐ฒ๐ถ
- ๐ฒ๐ท
- ๐ฒ๐บ
- ๐พ๐น
- ๐ฒ๐ฝ
- ๐ซ๐ฒ
- ๐ฒ๐ฉ
- ๐ฒ๐จ
- ๐ฒ๐ณ
- ๐ฒ๐ช
- ๐ฒ๐ธ
- ๐ฒ๐ฆ
- ๐ฒ๐ฟ
- ๐ฒ๐ฒ
- ๐ณ๐ฆ
- ๐ณ๐ท
- ๐ณ๐ต
- ๐ณ๐ฑ
- ๐ณ๐จ
- ๐ณ๐ฟ
- ๐ณ๐ฎ
- ๐ณ๐ช
- ๐ณ๐ฌ
- ๐ณ๐บ
- ๐ณ๐ซ
- ๐ฐ๐ต
- ๐ฒ๐ต
- ๐ณ๐ด
- ๐ด๐ฒ
- ๐ต๐ฐ
- ๐ต๐ผ
- ๐ต๐ธ
- ๐ต๐ฆ
- ๐ต๐ฌ
- ๐ต๐พ
- ๐ต๐ช
- ๐ต๐ญ
- ๐ต๐ณ
- ๐ต๐ฑ
- ๐ต๐น
- ๐ต๐ท
- ๐ถ๐ฆ
- ๐ท๐ช
- ๐ท๐ด
- ๐ท๐บ
- ๐ท๐ผ
- ๐ผ๐ธ
- ๐ธ๐ฒ
- ๐ธ๐ฆ
- ๐ธ๐ณ
- ๐ท๐ธ
- ๐ธ๐จ
- ๐ธ๐ฑ
- ๐ธ๐ฌ
- ๐ธ๐ฝ
- ๐ธ๐ฐ
- ๐ธ๐ฎ
- ๐ฌ๐ธ
- ๐ธ๐ง
- ๐ธ๐ด
- ๐ฟ๐ฆ
- ๐ฐ๐ท
- ๐ธ๐ธ
- ๐ช๐ธ
- ๐ฑ๐ฐ
- ๐ง๐ฑ
- ๐ธ๐ญ
- ๐ฐ๐ณ
- ๐ฑ๐จ
- ๐ต๐ฒ
- ๐ป๐จ
- ๐ธ๐ฉ
- ๐ธ๐ท
- ๐ธ๐ฟ
- ๐ธ๐ช
- ๐จ๐ญ
- ๐ธ๐พ
- ๐น๐ผ
- ๐น๐ฏ
- ๐น๐ฟ
- ๐น๐ญ
- ๐น๐ฑ
- ๐น๐ฌ
- ๐น๐ฐ
- ๐น๐ด
- ๐น๐น
- ๐น๐ณ
- ๐น๐ท
- ๐น๐ฒ
- ๐น๐จ
- ๐น๐ป
- ๐ป๐ฎ
- ๐บ๐ฌ
- ๐บ๐ฆ
- ๐ฆ๐ช
- ๐ฌ๐ง
- ๐ด๓ ง๓ ข๓ ฅ๓ ฎ๓ ง๓ ฟ
- ๐ด๓ ง๓ ข๓ ณ๓ ฃ๓ ด๓ ฟ
- ๐ด๓ ง๓ ข๓ ท๓ ฌ๓ ณ๓ ฟ
- ๐บ๐ณ
- ๐บ๐ธ
- ๐บ๐พ
- ๐บ๐ฟ
- ๐ป๐บ
- ๐ป๐ฆ
- ๐ป๐ช
- ๐ป๐ณ
- ๐ผ๐ซ
- ๐ช๐ญ
- ๐พ๐ช
- ๐ฟ๐ฒ
- ๐ฟ๐ผ๐ซ
- ๐ซข
- ๐ซฃ
- ๐ซก
- ๐ซฅ
- ๐ซค
- ๐ฅน
- ๐ซฑ
- ๐ซฑ๐ป
- ๐ซฑ๐ผ
- ๐ซฑ๐ฝ
- ๐ซฑ๐พ
- ๐ซฑ๐ฟ
- ๐ซฒ
- ๐ซฒ๐ป
- ๐ซฒ๐ผ
- ๐ซฒ๐ฝ
- ๐ซฒ๐พ
- ๐ซฒ๐ฟ
- ๐ซณ
- ๐ซณ๐ป
- ๐ซณ๐ผ
- ๐ซณ๐ฝ
- ๐ซณ๐พ
- ๐ซณ๐ฟ
- ๐ซด
- ๐ซด๐ป
- ๐ซด๐ผ
- ๐ซด๐ฝ
- ๐ซด๐พ
- ๐ซด๐ฟ
- ๐ซฐ
- ๐ซฐ๐ป
- ๐ซฐ๐ผ
- ๐ซฐ๐ฝ
- ๐ซฐ๐พ
- ๐ซฐ๐ฟ
- ๐ซต
- ๐ซต๐ป
- ๐ซต๐ผ
- ๐ซต๐ฝ
- ๐ซต๐พ
- ๐ซต๐ฟ
- ๐ซถ
- ๐ซถ๐ป
- ๐ซถ๐ผ
- ๐ซถ๐ฝ
- ๐ซถ๐พ
- ๐ซถ๐ฟ
- ๐ค๐ป
- ๐ค๐ผ
- ๐ค๐ฝ
- ๐ค๐พ
- ๐ค๐ฟ
- ๐ซฑ๐ปโ๐ซฒ๐ผ
- ๐ซฑ๐ปโ๐ซฒ๐ฝ
- ๐ซฑ๐ปโ๐ซฒ๐พ
- ๐ซฑ๐ปโ๐ซฒ๐ฟ
- ๐ซฑ๐ผโ๐ซฒ๐ป
- ๐ซฑ๐ผโ๐ซฒ๐ฝ
- ๐ซฑ๐ผโ๐ซฒ๐พ
- ๐ซฑ๐ผโ๐ซฒ๐ฟ
- ๐ซฑ๐ฝโ๐ซฒ๐ป
- ๐ซฑ๐ฝโ๐ซฒ๐ผ
- ๐ซฑ๐ฝโ๐ซฒ๐พ
- ๐ซฑ๐ฝโ๐ซฒ๐ฟ
- ๐ซฑ๐พโ๐ซฒ๐ป
- ๐ซฑ๐พโ๐ซฒ๐ผ
- ๐ซฑ๐พโ๐ซฒ๐ฝ
- ๐ซฑ๐พโ๐ซฒ๐ฟ
- ๐ซฑ๐ฟโ๐ซฒ๐ป
- ๐ซฑ๐ฟโ๐ซฒ๐ผ
- ๐ซฑ๐ฟโ๐ซฒ๐ฝ
- ๐ซฑ๐ฟโ๐ซฒ๐พ
- ๐ซฆ
- ๐ซ
- ๐ซ
๐ป
- ๐ซ
๐ผ
- ๐ซ
๐ฝ
- ๐ซ
๐พ
- ๐ซ
๐ฟ
- ๐ซ
- ๐ซ๐ป
- ๐ซ๐ผ
- ๐ซ๐ฝ
- ๐ซ๐พ
- ๐ซ๐ฟ
- ๐ซ
- ๐ซ๐ป
- ๐ซ๐ผ
- ๐ซ๐ฝ
- ๐ซ๐พ
- ๐ซ๐ฟ
- ๐ง
- ๐ชธ
- ๐ชท
- ๐ชน
- ๐ชบ
- ๐ซ
- ๐ซ
- ๐ซ
- ๐
- ๐
- ๐
- ๐ชฌ
- ๐ชฉ
- ๐ชซ
- ๐ฉผ
- ๐ฉป
- ๐ซง
- ๐ชช
- ๐ฐ
- ๐ฎโ๐จ
- ๐ตโ๐ซ
- ๐ถโ๐ซ๏ธ
- โค๏ธโ๐ฅ
- โค๏ธโ๐ฉน
- ๐งโโ๏ธ
- ๐ง๐ปโโ๏ธ
- ๐ง๐ผโโ๏ธ
- ๐ง๐ฝโโ๏ธ
- ๐ง๐พโโ๏ธ
- ๐ง๐ฟโโ๏ธ
- ๐งโโ๏ธ
- ๐ง๐ปโโ๏ธ
- ๐ง๐ผโโ๏ธ
- ๐ง๐ฝโโ๏ธ
- ๐ง๐พโโ๏ธ
- ๐ง๐ฟโโ๏ธ
- ๐๐ป
- ๐๐ผ
- ๐๐ฝ
- ๐๐พ
- ๐๐ฟ
- ๐๐ป
- ๐๐ผ
- ๐๐ฝ
- ๐๐พ
- ๐๐ฟ
- ๐จ๐ปโโค๏ธโ๐จ๐ป
- ๐จ๐ปโโค๏ธโ๐จ๐ผ
- ๐จ๐ปโโค๏ธโ๐จ๐ฝ
- ๐จ๐ปโโค๏ธโ๐จ๐พ
- ๐จ๐ปโโค๏ธโ๐จ๐ฟ
- ๐จ๐ผโโค๏ธโ๐จ๐ป
- ๐จ๐ผโโค๏ธโ๐จ๐ผ
- ๐จ๐ผโโค๏ธโ๐จ๐ฝ
- ๐จ๐ผโโค๏ธโ๐จ๐พ
- ๐จ๐ผโโค๏ธโ๐จ๐ฟ
- ๐จ๐ฝโโค๏ธโ๐จ๐ป
- ๐จ๐ฝโโค๏ธโ๐จ๐ผ
- ๐จ๐ฝโโค๏ธโ๐จ๐ฝ
- ๐จ๐ฝโโค๏ธโ๐จ๐พ
- ๐จ๐ฝโโค๏ธโ๐จ๐ฟ
- ๐จ๐พโโค๏ธโ๐จ๐ป
- ๐จ๐พโโค๏ธโ๐จ๐ผ
- ๐จ๐พโโค๏ธโ๐จ๐ฝ
- ๐จ๐พโโค๏ธโ๐จ๐พ
- ๐จ๐พโโค๏ธโ๐จ๐ฟ
- ๐จ๐ฟโโค๏ธโ๐จ๐ป
- ๐จ๐ฟโโค๏ธโ๐จ๐ผ
- ๐จ๐ฟโโค๏ธโ๐จ๐ฝ
- ๐จ๐ฟโโค๏ธโ๐จ๐พ
- ๐จ๐ฟโโค๏ธโ๐จ๐ฟ
- ๐ฉ๐ปโโค๏ธโ๐จ๐ป
- ๐ฉ๐ปโโค๏ธโ๐จ๐ผ
- ๐ฉ๐ปโโค๏ธโ๐จ๐ฝ
- ๐ฉ๐ปโโค๏ธโ๐จ๐พ
- ๐ฉ๐ปโโค๏ธโ๐จ๐ฟ
- ๐ฉ๐ปโโค๏ธโ๐ฉ๐ป
- ๐ฉ๐ปโโค๏ธโ๐ฉ๐ผ
- ๐ฉ๐ปโโค๏ธโ๐ฉ๐ฝ
- ๐ฉ๐ปโโค๏ธโ๐ฉ๐พ
- ๐ฉ๐ปโโค๏ธโ๐ฉ๐ฟ
- ๐ฉ๐ผโโค๏ธโ๐จ๐ป
- ๐ฉ๐ผโโค๏ธโ๐จ๐ผ
- ๐ฉ๐ผโโค๏ธโ๐จ๐ฝ
- ๐ฉ๐ผโโค๏ธโ๐จ๐พ
- ๐ฉ๐ผโโค๏ธโ๐จ๐ฟ
- ๐ฉ๐ผโโค๏ธโ๐ฉ๐ป
- ๐ฉ๐ผโโค๏ธโ๐ฉ๐ผ
- ๐ฉ๐ผโโค๏ธโ๐ฉ๐ฝ
- ๐ฉ๐ผโโค๏ธโ๐ฉ๐พ
- ๐ฉ๐ผโโค๏ธโ๐ฉ๐ฟ
- ๐ฉ๐ฝโโค๏ธโ๐จ๐ป
- ๐ฉ๐ฝโโค๏ธโ๐จ๐ผ
- ๐ฉ๐ฝโโค๏ธโ๐จ๐ฝ
- ๐ฉ๐ฝโโค๏ธโ๐จ๐พ
- ๐ฉ๐ฝโโค๏ธโ๐จ๐ฟ
- ๐ฉ๐ฝโโค๏ธโ๐ฉ๐ป
- ๐ฉ๐ฝโโค๏ธโ๐ฉ๐ผ
- ๐ฉ๐ฝโโค๏ธโ๐ฉ๐ฝ
- ๐ฉ๐ฝโโค๏ธโ๐ฉ๐พ
- ๐ฉ๐ฝโโค๏ธโ๐ฉ๐ฟ
- ๐ฉ๐พโโค๏ธโ๐จ๐ป
- ๐ฉ๐พโโค๏ธโ๐จ๐ผ
- ๐ฉ๐พโโค๏ธโ๐จ๐ฝ
- ๐ฉ๐พโโค๏ธโ๐จ๐พ
- ๐ฉ๐พโโค๏ธโ๐จ๐ฟ
- ๐ฉ๐พโโค๏ธโ๐ฉ๐ป
- ๐ฉ๐พโโค๏ธโ๐ฉ๐ผ
- ๐ฉ๐พโโค๏ธโ๐ฉ๐ฝ
- ๐ฉ๐พโโค๏ธโ๐ฉ๐พ
- ๐ฉ๐พโโค๏ธโ๐ฉ๐ฟ
- ๐ฉ๐ฟโโค๏ธโ๐จ๐ป
- ๐ฉ๐ฟโโค๏ธโ๐จ๐ผ
- ๐ฉ๐ฟโโค๏ธโ๐จ๐ฝ
- ๐ฉ๐ฟโโค๏ธโ๐จ๐พ
- ๐ฉ๐ฟโโค๏ธโ๐จ๐ฟ
- ๐ฉ๐ฟโโค๏ธโ๐ฉ๐ป
- ๐ฉ๐ฟโโค๏ธโ๐ฉ๐ผ
- ๐ฉ๐ฟโโค๏ธโ๐ฉ๐ฝ
- ๐ฉ๐ฟโโค๏ธโ๐ฉ๐พ
- ๐ฉ๐ฟโโค๏ธโ๐ฉ๐ฟ
- ๐ง๐ปโโค๏ธโ๐ง๐ผ
- ๐ง๐ปโโค๏ธโ๐ง๐ฝ
- ๐ง๐ปโโค๏ธโ๐ง๐พ
- ๐ง๐ปโโค๏ธโ๐ง๐ฟ
- ๐ง๐ผโโค๏ธโ๐ง๐ป
- ๐ง๐ผโโค๏ธโ๐ง๐ฝ
- ๐ง๐ผโโค๏ธโ๐ง๐พ
- ๐ง๐ผโโค๏ธโ๐ง๐ฟ
- ๐ง๐ฝโโค๏ธโ๐ง๐ป
- ๐ง๐ฝโโค๏ธโ๐ง๐ผ
- ๐ง๐ฝโโค๏ธโ๐ง๐พ
- ๐ง๐ฝโโค๏ธโ๐ง๐ฟ
- ๐ง๐พโโค๏ธโ๐ง๐ป
- ๐ง๐พโโค๏ธโ๐ง๐ผ
- ๐ง๐พโโค๏ธโ๐ง๐ฝ
- ๐ง๐พโโค๏ธโ๐ง๐ฟ
- ๐ง๐ฟโโค๏ธโ๐ง๐ป
- ๐ง๐ฟโโค๏ธโ๐ง๐ผ
- ๐ง๐ฟโโค๏ธโ๐ง๐ฝ
- ๐ง๐ฟโโค๏ธโ๐ง๐พ
- ๐จ๐ปโโค๏ธโ๐โ๐จ๐ป
- ๐จ๐ปโโค๏ธโ๐โ๐จ๐ผ
- ๐จ๐ปโโค๏ธโ๐โ๐จ๐ฝ
- ๐จ๐ปโโค๏ธโ๐โ๐จ๐พ
- ๐จ๐ปโโค๏ธโ๐โ๐จ๐ฟ
- ๐จ๐ผโโค๏ธโ๐โ๐จ๐ป
- ๐จ๐ผโโค๏ธโ๐โ๐จ๐ผ
- ๐จ๐ผโโค๏ธโ๐โ๐จ๐ฝ
- ๐จ๐ผโโค๏ธโ๐โ๐จ๐พ
- ๐จ๐ผโโค๏ธโ๐โ๐จ๐ฟ
- ๐จ๐ฝโโค๏ธโ๐โ๐จ๐ป
- ๐จ๐ฝโโค๏ธโ๐โ๐จ๐ผ
- ๐จ๐ฝโโค๏ธโ๐โ๐จ๐ฝ
- ๐จ๐ฝโโค๏ธโ๐โ๐จ๐พ
- ๐จ๐ฝโโค๏ธโ๐โ๐จ๐ฟ
- ๐จ๐พโโค๏ธโ๐โ๐จ๐ป
- ๐จ๐พโโค๏ธโ๐โ๐จ๐ผ
- ๐จ๐พโโค๏ธโ๐โ๐จ๐ฝ
- ๐จ๐พโโค๏ธโ๐โ๐จ๐พ
- ๐จ๐พโโค๏ธโ๐โ๐จ๐ฟ
- ๐จ๐ฟโโค๏ธโ๐โ๐จ๐ป
- ๐จ๐ฟโโค๏ธโ๐โ๐จ๐ผ
- ๐จ๐ฟโโค๏ธโ๐โ๐จ๐ฝ
- ๐จ๐ฟโโค๏ธโ๐โ๐จ๐พ
- ๐จ๐ฟโโค๏ธโ๐โ๐จ๐ฟ
- ๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ป
- ๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ผ
- ๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ฝ
- ๐ฉ๐ปโโค๏ธโ๐โ๐จ๐พ
- ๐ฉ๐ปโโค๏ธโ๐โ๐จ๐ฟ
- ๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ป
- ๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ผ
- ๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ฝ
- ๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐พ
- ๐ฉ๐ปโโค๏ธโ๐โ๐ฉ๐ฟ
- ๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ป
- ๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ผ
- ๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ฝ
- ๐ฉ๐ผโโค๏ธโ๐โ๐จ๐พ
- ๐ฉ๐ผโโค๏ธโ๐โ๐จ๐ฟ
- ๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ป
- ๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ผ
- ๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ฝ
- ๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐พ
- ๐ฉ๐ผโโค๏ธโ๐โ๐ฉ๐ฟ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ป
- ๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ผ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ฝ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐พ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐จ๐ฟ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ป
- ๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ผ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ฝ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐พ
- ๐ฉ๐ฝโโค๏ธโ๐โ๐ฉ๐ฟ
- ๐ฉ๐พโโค๏ธโ๐โ๐จ๐ป
- ๐ฉ๐พโโค๏ธโ๐โ๐จ๐ผ
- ๐ฉ๐พโโค๏ธโ๐โ๐จ๐ฝ
- ๐ฉ๐พโโค๏ธโ๐โ๐จ๐พ
- ๐ฉ๐พโโค๏ธโ๐โ๐จ๐ฟ
- ๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ป
- ๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ผ
- ๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ฝ
- ๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐พ
- ๐ฉ๐พโโค๏ธโ๐โ๐ฉ๐ฟ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ป
- ๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ผ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ฝ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐พ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐จ๐ฟ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ป
- ๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ผ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ฝ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐พ
- ๐ฉ๐ฟโโค๏ธโ๐โ๐ฉ๐ฟ
- ๐ง๐ปโโค๏ธโ๐โ๐ง๐ผ
- ๐ง๐ปโโค๏ธโ๐โ๐ง๐ฝ
- ๐ง๐ปโโค๏ธโ๐โ๐ง๐พ
- ๐ง๐ปโโค๏ธโ๐โ๐ง๐ฟ
- ๐ง๐ผโโค๏ธโ๐โ๐ง๐ป
- ๐ง๐ผโโค๏ธโ๐โ๐ง๐ฝ
- ๐ง๐ผโโค๏ธโ๐โ๐ง๐พ
- ๐ง๐ผโโค๏ธโ๐โ๐ง๐ฟ
- ๐ง๐ฝโโค๏ธโ๐โ๐ง๐ป
- ๐ง๐ฝโโค๏ธโ๐โ๐ง๐ผ
- ๐ง๐ฝโโค๏ธโ๐โ๐ง๐พ
- ๐ง๐ฝโโค๏ธโ๐โ๐ง๐ฟ
- ๐ง๐พโโค๏ธโ๐โ๐ง๐ป
- ๐ง๐พโโค๏ธโ๐โ๐ง๐ผ
- ๐ง๐พโโค๏ธโ๐โ๐ง๐ฝ
- ๐ง๐พโโค๏ธโ๐โ๐ง๐ฟ
- ๐ง๐ฟโโค๏ธโ๐โ๐ง๐ป
- ๐ง๐ฟโโค๏ธโ๐โ๐ง๐ผ
- ๐ง๐ฟโโค๏ธโ๐โ๐ง๐ฝ
- ๐ง๐ฟโโค๏ธโ๐โ๐ง๐พ
condition: selection
falsepositives:
- Unknown
level: high
license: DRL-1.1
related:
- id: 225274c4-8dd1-40db-9e09-71dff4f6fb3c
type: derived
What it detects
This rule flags Windows process creation events where the command line contains one of a large set of specific emoji characters and emoji-like symbols. Attackers may use unusual Unicode characters in command lines to hinder readability, evade simple text-based detections, or blend into operator-generated output. The detection relies on Windows process creation telemetry and matches directly against the command line string contents.
Known false positives
- Unknown
Detection content is published as a reviewed draft. Tune thresholds and exclusions against your own telemetry before enabling this rule for alerting.