Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 3
Detects the usage of emojis in the command line, this could be a sign of potential defense evasion activity.
Sigma rule (View on GitHub)
1title: Potential Defense Evasion Activity Via Emoji Usage In CommandLine - 3
2id: f9578658-9e71-4711-b634-3f9b50cd3c06
3status: test
4description: Detects the usage of emojis in the command line, this could be a sign of potential defense evasion activity.
5author: '@Kostastsale, @TheDFIRReport'
6references:
7 - Internal Research
8tags:
9 - attack.defense-evasion
10date: 2022-12-05
11logsource:
12 product: windows
13 category: process_creation
14detection:
15 selection:
16 CommandLine|contains:
17 - '๐ฆ'
18 - '๐ฆ
'
19 - '๐ฆ'
20 - '๐ฆ'
21 - '๐บ'
22 - '๐'
23 - '๐ด'
24 - '๐ฆ'
25 - '๐'
26 - '๐ชฑ'
27 - '๐'
28 - '๐ฆ'
29 - '๐'
30 - '๐'
31 - '๐'
32 - '๐ชฐ'
33 - '๐ชฒ'
34 - '๐ชณ'
35 - '๐ฆ'
36 - '๐ฆ'
37 - '๐ท'
38 - '๐ธ'
39 - '๐ฆ'
40 - '๐ข'
41 - '๐'
42 - '๐ฆ'
43 - '๐ฆ'
44 - '๐ฆ'
45 - '๐'
46 - '๐ฆ'
47 - '๐ฆ'
48 - '๐ฆ'
49 - '๐ฆ'
50 - '๐ชธ'
51 - '๐ก'
52 - '๐ '
53 - '๐'
54 - '๐ฌ'
55 - '๐ณ'
56 - '๐'
57 - '๐ฆ'
58 - '๐'
59 - '๐
'
60 - '๐'
61 - '๐ฆ'
62 - '๐ฆ'
63 - '๐ฆง'
64 - '๐ฆฃ'
65 - '๐'
66 - '๐ฆ'
67 - '๐ฆ'
68 - '๐ช'
69 - '๐ซ'
70 - '๐ฆ'
71 - '๐ฆ'
72 - '๐ฆฌ'
73 - '๐'
74 - '๐'
75 - '๐'
76 - '๐'
77 - '๐'
78 - '๐'
79 - '๐'
80 - '๐ฆ'
81 - '๐'
82 - '๐ฆ'
83 - '๐'
84 - '๐ฉ'
85 - '๐ฆฎ'
86 - '๐โ๐ฆบ'
87 - '๐'
88 - '๐โโฌ'
89 - '๐ชถ'
90 - '๐'
91 - '๐ฆ'
92 - '๐ฆค'
93 - '๐ฆ'
94 - '๐ฆ'
95 - '๐ฆข'
96 - '๐ฆฉ'
97 - '๐'
98 - '๐'
99 - '๐ฆ'
100 - '๐ฆจ'
101 - '๐ฆก'
102 - '๐ฆซ'
103 - '๐ฆฆ'
104 - '๐ฆฅ'
105 - '๐'
106 - '๐'
107 - '๐ฟ'
108 - '๐ฆ'
109 - '๐พ'
110 - '๐'
111 - '๐ฒ'
112 - '๐ต'
113 - '๐'
114 - '๐ฒ'
115 - '๐ณ'
116 - '๐ด'
117 - '๐ชน'
118 - '๐ชบ'
119 - '๐ชต'
120 - '๐ฑ'
121 - '๐ฟ'
122 - 'โ๏ธ'
123 - '๐'
124 - '๐'
125 - '๐ชด'
126 - '๐'
127 - '๐'
128 - '๐'
129 - '๐'
130 - '๐'
131 - '๐'
132 - '๐ชจ'
133 - '๐พ'
134 - '๐'
135 - '๐ท'
136 - '๐ชท'
137 - '๐น'
138 - '๐ฅ'
139 - '๐บ'
140 - '๐ธ'
141 - '๐ผ'
142 - '๐ป'
143 - '๐'
144 - '๐'
145 - '๐'
146 - '๐'
147 - '๐'
148 - '๐'
149 - '๐'
150 - '๐'
151 - '๐'
152 - '๐'
153 - '๐'
154 - '๐'
155 - '๐'
156 - '๐'
157 - '๐'
158 - '๐'
159 - '๐'
160 - '๐ช'
161 - '๐ซ'
162 - 'โญ๏ธ'
163 - '๐'
164 - 'โจ'
165 - 'โก๏ธ'
166 - 'โ๏ธ'
167 - '๐ฅ'
168 - '๐ฅ'
169 - '๐ช'
170 - '๐'
171 - 'โ๏ธ'
172 - '๐ค'
173 - 'โ
๏ธ'
174 - '๐ฅ'
175 - 'โ๏ธ'
176 - '๐ฆ'
177 - '๐ง'
178 - 'โ'
179 - '๐ฉ'
180 - '๐จ'
181 - 'โ๏ธ'
182 - 'โ๏ธ'
183 - 'โ๏ธ'
184 - '๐ฌ'
185 - '๐จ'
186 - '๐ง'
187 - '๐ฆ'
188 - '๐ซง'
189 - 'โ๏ธ'
190 - 'โ๏ธ'
191 - '๐'
192 - '๐ซ๐'
193 - '๐'
194 - '๐'
195 - '๐'
196 - '๐'
197 - '๐'
198 - '๐'
199 - '๐'
200 - '๐'
201 - '๐ซ'
202 - '๐'
203 - '๐'
204 - '๐'
205 - '๐ฅญ'
206 - '๐'
207 - '๐ฅฅ'
208 - '๐ฅ'
209 - '๐
'
210 - '๐'
211 - '๐ฅ'
212 - '๐ฅฆ'
213 - '๐ฅฌ'
214 - '๐ฅ'
215 - '๐ถ'
216 - '๐ซ'
217 - '๐ฝ'
218 - '๐ฅ'
219 - '๐ซ'
220 - '๐ง'
221 - '๐ง
'
222 - '๐ฅ'
223 - '๐ '
224 - '๐ซ'
225 - '๐ฅ'
226 - '๐ฅฏ'
227 - '๐'
228 - '๐ฅ'
229 - '๐ฅจ'
230 - '๐ง'
231 - '๐ฅ'
232 - '๐ณ'
233 - '๐ง'
234 - '๐ฅ'
235 - '๐ง'
236 - '๐ฅ'
237 - '๐ฅฉ'
238 - '๐'
239 - '๐'
240 - '๐ฆด'
241 - '๐ญ'
242 - '๐'
243 - '๐'
244 - '๐'
245 - '๐ซ'
246 - '๐ฅช'
247 - '๐ฅ'
248 - '๐ง'
249 - '๐ฎ'
250 - '๐ฏ'
251 - '๐ซ'
252 - '๐ฅ'
253 - '๐ฅ'
254 - '๐ซ'
255 - '๐ฅซ'
256 - '๐'
257 - '๐'
258 - '๐ฒ'
259 - '๐'
260 - '๐ฃ'
261 - '๐ฑ'
262 - '๐ฅ'
263 - '๐ฆช'
264 - '๐ค'
265 - '๐'
266 - '๐'
267 - '๐'
268 - '๐ฅ'
269 - '๐ฅ '
270 - '๐ฅฎ'
271 - '๐ข'
272 - '๐ก'
273 - '๐ง'
274 - '๐จ'
275 - '๐ฆ'
276 - '๐ฅง'
277 - '๐ง'
278 - '๐ฐ'
279 - '๐'
280 - '๐ฎ'
281 - '๐ญ'
282 - '๐ฌ'
283 - '๐ซ'
284 - '๐ฟ'
285 - '๐ฉ'
286 - '๐ช'
287 - '๐ฐ'
288 - '๐ฅ'
289 - '๐ฏ'
290 - '๐ฅ'
291 - '๐ผ'
292 - '๐ซ'
293 - 'โ๏ธ'
294 - '๐ต'
295 - '๐ง'
296 - '๐ฅค'
297 - '๐ง'
298 - '๐ซ'
299 - '๐ถ'
300 - '๐บ'
301 - '๐ป'
302 - '๐ฅ'
303 - '๐ท'
304 - '๐ซ'
305 - '๐ฅ'
306 - '๐ธ'
307 - '๐น'
308 - '๐ง'
309 - '๐พ'
310 - '๐ง'
311 - '๐ฅ'
312 - '๐ด'
313 - '๐ฝ'
314 - '๐ฅฃ'
315 - '๐ฅก'
316 - '๐ฅข'
317 - '๐ง'
318 - 'โฝ๏ธ'
319 - '๐'
320 - '๐'
321 - 'โพ๏ธ'
322 - '๐ฅ'
323 - '๐พ'
324 - '๐'
325 - '๐'
326 - '๐ฅ'
327 - '๐ฑ'
328 - '๐ช'
329 - '๐'
330 - '๐ธ'
331 - '๐'
332 - '๐'
333 - '๐ฅ'
334 - '๐'
335 - '๐ช'
336 - '๐ฅ
'
337 - 'โณ๏ธ'
338 - '๐ช'
339 - '๐น'
340 - '๐ฃ'
341 - '๐คฟ'
342 - '๐ฅ'
343 - '๐ฅ'
344 - '๐ฝ'
345 - '๐น'
346 - '๐ผ'
347 - '๐ท'
348 - 'โธ'
349 - '๐ฅ'
350 - '๐ฟ'
351 - 'โท'
352 - '๐'
353 - '๐ช'
354 - '๐๏ธโโ๏ธ'
355 - '๐๏ธ'
356 - '๐๏ธโโ๏ธ'
357 - '๐คผโโ๏ธ'
358 - '๐คผ'
359 - '๐คผโโ๏ธ'
360 - '๐คธโโ๏ธ'
361 - '๐คธ'
362 - '๐คธโโ๏ธ'
363 - 'โน๏ธโโ๏ธ'
364 - 'โน๏ธ'
365 - 'โน๏ธโโ๏ธ'
366 - '๐คบ'
367 - '๐คพโโ๏ธ'
368 - '๐คพ'
369 - '๐คพโโ๏ธ'
370 - '๐๏ธโโ๏ธ'
371 - '๐๏ธ'
372 - '๐๏ธโโ๏ธ'
373 - '๐'
374 - '๐งโโ๏ธ'
375 - '๐ง'
376 - '๐งโโ๏ธ'
377 - '๐โโ๏ธ'
378 - '๐'
379 - '๐โโ๏ธ'
380 - '๐โโ๏ธ'
381 - '๐'
382 - '๐โโ๏ธ'
383 - '๐คฝโโ๏ธ'
384 - '๐คฝ'
385 - '๐คฝโโ๏ธ'
386 - '๐ฃโโ๏ธ'
387 - '๐ฃ'
388 - '๐ฃโโ๏ธ'
389 - '๐งโโ๏ธ'
390 - '๐ง'
391 - '๐งโโ๏ธ'
392 - '๐ตโโ๏ธ'
393 - '๐ต'
394 - '๐ตโโ๏ธ'
395 - '๐ดโโ๏ธ'
396 - '๐ด'
397 - '๐ดโโ๏ธ'
398 - '๐'
399 - '๐ฅ'
400 - '๐ฅ'
401 - '๐ฅ'
402 - '๐
'
403 - '๐'
404 - '๐ต'
405 - '๐'
406 - '๐ซ'
407 - '๐'
408 - '๐ช'
409 - '๐คน'
410 - '๐คนโโ๏ธ'
411 - '๐คนโโ๏ธ'
412 - '๐ญ'
413 - '๐ฉฐ'
414 - '๐จ'
415 - '๐ฌ'
416 - '๐ค'
417 - '๐ง'
418 - '๐ผ'
419 - '๐น'
420 - '๐ฅ'
421 - '๐ช'
422 - '๐ท'
423 - '๐บ'
424 - '๐ช'
425 - '๐ธ'
426 - '๐ช'
427 - '๐ป'
428 - '๐ฒ'
429 - 'โ'
430 - '๐ฏ'
431 - '๐ณ'
432 - '๐ฎ'
433 - '๐ฐ'
434 - '๐งฉ'
435 - '๐'
436 - '๐'
437 - '๐'
438 - '๐'
439 - '๐'
440 - '๐'
441 - '๐'
442 - '๐'
443 - '๐'
444 - '๐'
445 - '๐ป'
446 - '๐'
447 - '๐'
448 - '๐'
449 - '๐ฆฏ'
450 - '๐ฆฝ'
451 - '๐ฆผ'
452 - '๐ด'
453 - '๐ฒ'
454 - '๐ต'
455 - '๐'
456 - '๐บ'
457 - '๐จ'
458 - '๐'
459 - '๐'
460 - '๐'
461 - '๐'
462 - '๐'
463 - '๐ก'
464 - '๐ '
465 - '๐'
466 - '๐'
467 - '๐'
468 - '๐'
469 - '๐'
470 - '๐'
471 - '๐
'
472 - '๐'
473 - '๐'
474 - '๐'
475 - '๐'
476 - '๐'
477 - '๐'
478 - 'โ๏ธ'
479 - '๐ซ'
480 - '๐ฌ'
481 - '๐ฉ'
482 - '๐บ'
483 - '๐ฐ'
484 - '๐'
485 - '๐ธ'
486 - '๐'
487 - '๐ถ'
488 - 'โต๏ธ'
489 - '๐ค'
490 - '๐ฅ'
491 - '๐ณ'
492 - 'โด'
493 - '๐ข'
494 - 'โ๏ธ'
495 - '๐'
496 - '๐ช'
497 - 'โฝ๏ธ'
498 - '๐ง'
499 - '๐ฆ'
500 - '๐ฅ'
501 - '๐'
502 - '๐บ'
503 - '๐ฟ'
504 - '๐ฝ'
505 - '๐ผ'
506 - '๐ฐ'
507 - '๐ฏ'
508 - '๐'
509 - '๐ก'
510 - '๐ข'
511 - '๐'
512 - '๐ '
513 - 'โฒ๏ธ'
514 - 'โฑ'
515 - '๐'
516 - '๐'
517 - '๐'
518 - '๐'
519 - 'โฐ'
520 - '๐'
521 - '๐ป'
522 - '๐'
523 - 'โบ๏ธ'
524 - '๐'
525 - '๐ '
526 - '๐ก'
527 - '๐'
528 - '๐'
529 - '๐'
530 - '๐ญ'
531 - '๐ข'
532 - '๐ฌ'
533 - '๐ฃ'
534 - '๐ค'
535 - '๐ฅ'
536 - '๐ฆ'
537 - '๐จ'
538 - '๐ช'
539 - '๐ซ'
540 - '๐ฉ'
541 - '๐'
542 - '๐'
543 - 'โช๏ธ'
544 - '๐'
545 - '๐'
546 - '๐'
547 - '๐'
548 - 'โฉ'
549 - '๐ค'
550 - '๐ฃ'
551 - '๐พ'
552 - '๐'
553 - '๐'
554 - '๐
'
555 - '๐'
556 - '๐ '
557 - '๐'
558 - '๐'
559 - '๐'
560 - '๐'
561 - '๐'
562 - '๐'
563 - '๐'
564 - '๐'
565 - '๐'
566 - 'โ๏ธ'
567 - '๐ฑ'
568 - '๐ฒ'
569 - '๐ป'
570 - 'โจ๏ธ'
571 - '๐ฅ'
572 - '๐จ'
573 - '๐ฑ'
574 - '๐ฒ'
575 - '๐น'
576 - '๐'
577 - '๐ฝ'
578 - '๐พ'
579 - '๐ฟ'
580 - '๐'
581 - '๐ผ'
582 - '๐ท'
583 - '๐ธ'
584 - '๐น'
585 - '๐ฅ'
586 - '๐ฝ'
587 - '๐'
588 - '๐'
589 - 'โ๏ธ'
590 - '๐'
591 - '๐ '
592 - '๐บ'
593 - '๐ป'
594 - '๐'
595 - '๐'
596 - '๐'
597 - '๐งญ'
598 - 'โฑ'
599 - 'โฒ'
600 - 'โฐ'
601 - '๐ฐ'
602 - 'โ๏ธ'
603 - 'โณ'
604 - '๐ก'
605 - '๐'
606 - '๐ชซ'
607 - '๐'
608 - '๐ก'
609 - '๐ฆ'
610 - '๐ฏ'
611 - '๐ช'
612 - '๐งฏ'
613 - '๐ข'
614 - '๐ธ'
615 - '๐ต'
616 - '๐ด'
617 - '๐ถ'
618 - '๐ท'
619 - '๐ช'
620 - '๐ฐ'
621 - '๐ณ'
622 - '๐'
623 - 'โ๏ธ'
624 - '๐ช'
625 - '๐งฐ'
626 - '๐ช'
627 - '๐ง'
628 - '๐จ'
629 - 'โ'
630 - '๐ '
631 - 'โ'
632 - '๐ช'
633 - '๐ฉ'
634 - 'โ๏ธ'
635 - '๐ชค'
636 - '๐งฑ'
637 - 'โ'
638 - '๐งฒ'
639 - '๐ซ'
640 - '๐ฃ'
641 - '๐งจ'
642 - '๐ช'
643 - '๐ช'
644 - '๐ก'
645 - 'โ๏ธ'
646 - '๐ก'
647 - '๐ฌ'
648 - 'โฐ๏ธ'
649 - '๐ชฆ'
650 - 'โฑ๏ธ'
651 - '๐บ'
652 - '๐ฎ'
653 - '๐ฟ'
654 - '๐งฟ'
655 - '๐ชฌ'
656 - '๐'
657 - 'โ๏ธ'
658 - '๐ญ'
659 - '๐ฌ'
660 - '๐ณ'
661 - '๐ฉน'
662 - '๐ฉบ'
663 - '๐ฉป'
664 - '๐ฉผ'
665 - '๐'
666 - '๐'
667 - '๐ฉธ'
668 - '๐งฌ'
669 - '๐ฆ '
670 - '๐งซ'
671 - '๐งช'
672 - '๐ก'
673 - '๐งน'
674 - '๐ช '
675 - '๐งบ'
676 - '๐งป'
677 - '๐ฝ'
678 - '๐ฐ'
679 - '๐ฟ'
680 - '๐'
681 - '๐'
682 - '๐งผ'
683 - '๐ชฅ'
684 - '๐ช'
685 - '๐งฝ'
686 - '๐ชฃ'
687 - '๐งด'
688 - '๐'
689 - '๐'
690 - '๐'
691 - '๐ช'
692 - '๐ช'
693 - '๐'
694 - '๐'
695 - '๐'
696 - '๐งธ'
697 - '๐ช'
698 - '๐ผ'
699 - '๐ช'
700 - '๐ช'
701 - '๐'
702 - '๐'
703 - '๐'
704 - '๐'
705 - '๐'
706 - '๐'
707 - '๐ช'
708 - '๐ช
'
709 - '๐'
710 - '๐'
711 - '๐ชฉ'
712 - '๐'
713 - '๐ฎ'
714 - '๐'
715 - '๐งง'
716 - 'โ๏ธ'
717 - '๐ฉ'
718 - '๐จ'
719 - '๐ง'
720 - '๐'
721 - '๐ฅ'
722 - '๐ค'
723 - '๐ฆ'
724 - '๐ท'
725 - '๐ชง'
726 - '๐ช'
727 - '๐ซ'
728 - '๐ฌ'
729 - '๐ญ'
730 - '๐ฎ'
731 - '๐ฏ'
732 - '๐'
733 - '๐'
734 - '๐'
735 - '๐'
736 - '๐งพ'
737 - '๐'
738 - '๐'
739 - '๐'
740 - '๐'
741 - '๐'
742 - '๐'
743 - '๐
'
744 - '๐'
745 - '๐ชช'
746 - '๐'
747 - '๐'
748 - '๐ณ'
749 - '๐'
750 - '๐'
751 - '๐'
752 - '๐'
753 - '๐'
754 - '๐'
755 - '๐ฐ'
756 - '๐'
757 - '๐'
758 - '๐'
759 - '๐'
760 - '๐'
761 - '๐'
762 - '๐'
763 - '๐'
764 - '๐'
765 - '๐'
766 - '๐งท'
767 - '๐'
768 - '๐'
769 - '๐'
770 - '๐'
771 - '๐'
772 - '๐งฎ'
773 - '๐'
774 - '๐'
775 - 'โ๏ธ'
776 - '๐'
777 - '๐'
778 - 'โ๏ธ'
779 - '๐'
780 - '๐'
781 - '๐'
782 - 'โ๏ธ'
783 - '๐'
784 - '๐'
785 - '๐'
786 - '๐'
787 - '๐'
788 - '๐โค๏ธ'
789 - '๐งก'
790 - '๐'
791 - '๐'
792 - '๐'
793 - '๐'
794 - '๐ค'
795 - '๐ค'
796 - '๐ค'
797 - 'โค๏ธโ๐ฅ'
798 - 'โค๏ธโ๐ฉน'
799 - '๐'
800 - 'โฃ๏ธ'
801 - '๐'
802 - '๐'
803 - '๐'
804 - '๐'
805 - '๐'
806 - '๐'
807 - '๐'
808 - '๐'
809 - 'โฎ๏ธ'
810 - 'โ๏ธ'
811 - 'โช๏ธ'
812 - '๐'
813 - 'โธ๏ธ'
814 - 'โก๏ธ'
815 - '๐ฏ'
816 - '๐'
817 - 'โฏ๏ธ'
818 - 'โฆ๏ธ'
819 - '๐'
820 - 'โ'
821 - 'โ๏ธ'
822 - 'โ๏ธ'
823 - 'โ๏ธ'
824 - 'โ๏ธ'
825 - 'โ๏ธ'
826 - 'โ๏ธ'
827 - 'โ๏ธ'
828 - 'โ๏ธ'
829 - 'โ๏ธ'
830 - 'โ๏ธ'
831 - 'โ๏ธ'
832 - 'โ๏ธ'
833 - '๐'
834 - 'โ๏ธ'
835 - '๐'
836 - 'โข๏ธ'
837 - 'โฃ๏ธ'
838 - '๐ด'
839 - '๐ณ'
840 - '๐ถ'
841 - '๐๏ธ'
842 - '๐ธ'
843 - '๐บ'
844 - '๐ท๏ธ'
845 - 'โด๏ธ'
846 - '๐'
847 - '๐ฎ'
848 - '๐'
849 - 'ใ๏ธ'
850 - 'ใ๏ธ'
851 - '๐ด'
852 - '๐ต'
853 - '๐น'
854 - '๐ฒ'
855 - '๐
ฐ๏ธ'
856 - '๐
ฑ๏ธ'
857 - '๐'
858 - '๐'
859 - '๐
พ๏ธ'
860 - '๐'
861 - 'โ'
862 - 'โญ๏ธ'
863 - '๐'
864 - 'โ๏ธ'
865 - '๐'
866 - '๐ซ'
867 - '๐ฏ'
868 - '๐ข'
869 - 'โจ๏ธ'
870 - '๐ท'
871 - '๐ฏ'
872 - '๐ณ'
873 - '๐ฑ'
874 - '๐'
875 - '๐ต'
876 - '๐ญ'
877 - 'โ๏ธ'
878 - 'โ'
879 - 'โ'
880 - 'โ'
881 - 'โผ๏ธ'
882 - 'โ๏ธ'
883 - '๐
'
884 - '๐'
885 - 'ใฝ๏ธ'
886 - 'โ ๏ธ'
887 - '๐ธ'
888 - '๐ฑ'
889 - 'โ๏ธ'
890 - '๐ฐ'
891 - 'โป๏ธ'
892 - 'โ
'
893 - '๐ฏ๏ธ'
894 - '๐น'
895 - 'โ๏ธ'
896 - 'โณ๏ธ'
897 - 'โ'
898 - '๐'
899 - '๐ '
900 - 'โ๏ธ'
901 - '๐'
902 - '๐ค'
903 - '๐ง'
904 - '๐พ'
905 - 'โฟ๏ธ'
906 - '๐
ฟ๏ธ'
907 - '๐'
908 - '๐ณ'
909 - '๐๏ธ'
910 - '๐'
911 - '๐'
912 - '๐'
913 - '๐
'
914 - '๐น'
915 - '๐บ'
916 - '๐ผ'
917 - 'โง'
918 - '๐ป'
919 - '๐ฎ'
920 - '๐ฆ'
921 - '๐ถ'
922 - '๐'
923 - '๐ฃ'
924 - 'โน๏ธ'
925 - '๐ค'
926 - '๐ก'
927 - '๐ '
928 - '๐'
929 - '๐'
930 - '๐'
931 - '๐'
932 - '๐'
933 - '๐'
934 - '0๏ธโฃ'
935 - '1๏ธโฃ'
936 - '2๏ธโฃ'
937 - '3๏ธโฃ'
938 - '4๏ธโฃ'
939 - '5๏ธโฃ'
940 - '6๏ธโฃ'
941 - '7๏ธโฃ'
942 - '8๏ธโฃ'
943 - '9๏ธโฃ'
944 - '๐'
945 - '๐ข'
946 - '#๏ธโฃ'
947 - '*๏ธโฃ'
948 - 'โ๏ธ'
949 - 'โถ๏ธ'
950 - 'โธ'
951 - 'โฏ'
952 - 'โน'
953 - 'โบ'
954 - 'โญ'
955 - 'โฎ'
956 - 'โฉ'
957 - 'โช'
958 - 'โซ'
959 - 'โฌ'
960 - 'โ๏ธ'
961 - '๐ผ'
962 - '๐ฝ'
963 - 'โก๏ธ'
964 - 'โฌ
๏ธ'
965 - 'โฌ๏ธ'
966 - 'โฌ๏ธ'
967 - 'โ๏ธ'
968 - 'โ๏ธ'
969 - 'โ๏ธ'
970 - 'โ๏ธ'
971 - 'โ๏ธ'
972 - 'โ๏ธ'
973 - 'โช๏ธ'
974 - 'โฉ๏ธ'
975 - 'โคด๏ธ'
976 - 'โคต๏ธ'
977 - '๐'
978 - '๐'
979 - '๐'
980 - '๐'
981 - '๐'
982 - '๐ต'
983 - '๐ถ'
984 - 'โ'
985 - 'โ'
986 - 'โ'
987 - 'โ๏ธ'
988 - '๐ฐ'
989 - 'โพ'
990 - '๐ฒ'
991 - '๐ฑ'
992 - 'โข๏ธ'
993 - 'ยฉ๏ธ'
994 - 'ยฎ๏ธ'
995 - 'ใฐ๏ธ'
996 - 'โฐ'
997 - 'โฟ'
998 - '๐'
999 - '๐'
1000 - '๐'
1001 - '๐'
1002 - '๐'
1003 - 'โ๏ธ'
1004 - 'โ๏ธ'
1005 - '๐'
1006 - '๐ด'
1007 - '๐ '
1008 - '๐ก'
1009 - '๐ข'
1010 - '๐ต'
1011 - '๐ฃ'
1012 - 'โซ๏ธ'
1013 - 'โช๏ธ'
1014 - '๐ค'
1015 - '๐บ'
1016 - '๐ป'
1017 condition: selection
1018falsepositives:
1019 - Unknown
1020level: high
References
Related rules
- Diamond Sleet APT DLL Sideloading Indicators
- Diamond Sleet APT Scheduled Task Creation - Registry
- Enable Remote Connection Between Anonymous Computer - AllowAnonymousCallback
- HackTool - CoercedPotato Named Pipe Creation
- Injected Browser Process Spawning Rundll32 - GuLoader Activity