Ein besonders auffälliges Beispiel ist die mit Pakistan in Verbindung gebrachte APT-Gruppe UTA0137. Sie nutzte die Schadsoftware „Disgomoji", die über Discord verschickte Emojis in operative Befehle übersetzte. Ein Kamera-Emoji löste etwa einen Screenshot aus, ein Feuer-Emoji die Exfiltration von Dateien und ein Totenkopf-Emoji die Beendigung von Prozessen.
Flashpoint verweist auf das Aufkommen Emoji-basierter C2-Operationen, bei denen gängige Symbole umfunktioniert werden, um Befehle auszuführen, abgeschlossene Aufgaben zu bestätigen und Datenbewegungen über kompromittierte Systeme zu koordinieren. Hinzu kommen Emojis im Schadcode selbst sowie sogenannte „Emoji-Smuggling"-Techniken, bei denen schädliche Nutzlasten in harmlos wirkenden Emojis eingebettet werden, um Sicherheitskontrollen zu umgehen.
Für die Kommunikation erfüllen Emojis laut Flashpoint zwei Zwecke. Werden sie anstelle verdächtiger Schlüsselwörter verwendet, umgehen Angreifer einfache Keyword-Filter und verringern ihre Sichtbarkeit in automatisierten Umgebungen. Zugleich erleichtern sie den Austausch in stark frequentierten Umgebungen wie Telegram-Betrugskanälen, Phishing- und Carding-Communities sowie illegalen Marktplätzen – und ermöglichen eine wirksamere mehrsprachige Verständigung in den global agierenden Strukturen, in denen Cyberkriminelle oft operieren.
Am häufigsten tauchen Emojis nach Flashpoints Analyse in der Kommunikation rund um Finanzbetrug und Monetarisierung, Zugänge, Zugangsdaten und Kompromittierungen sowie zur Kennzeichnung von Werkzeugen und Dienstleistungen auf. So kann ein Kartensymbol für gestohlene Zahlungskartendaten oder Carding stehen, ein Geldsack für Profit oder Auszahlungen, ein Schlüssel für Zugangsdaten und ein offenes Schloss für eine erfolgreiche Kompromittierung. Solche Symbole erscheinen häufig in Verkaufsanzeigen, Betrugsprotokollen oder Erfolgsmeldungen.
Auch eigene Fähigkeiten kommunizieren Akteure über Emojis: ein Roboter signalisiert die Verfügbarkeit eines Bot-Dienstes oder von Automatisierungswerkzeugen, ein Zahnrad steht für Konfigurations-, Einrichtungs- oder Infrastrukturdienste und ein Werkzeugkasten für gebündelte Dienste und Toolkits. Daneben dienen Symbole der Kennzeichnung von Zielen oder Regionen – etwa ein Gebäude für ein Unternehmensziel oder Länderflaggen für eine bestimmte geografische Ausrichtung.
In Kombination mit Slang, Abkürzungen und mehrsprachigen Formulierungen entsteht laut Flashpoint eine geschichtete Form der Verschleierung, die großflächige Überwachung erschwert. Umgekehrt bietet die Emoji-Nutzung aber auch einen Ansatzpunkt für Sicherheitsforscher: Da sich über die Zeit wiedererkennbare Muster herausbilden – etwa gleiche Emoji-Kombinationen in Verkaufsanzeigen oder dieselben Formatierungs- und Nachrichtenstrukturen –, lassen sich Aktivitäten eines Akteurs über verschiedene Kanäle, Plattformen und Aliasnamen hinweg verfolgen und verknüpfen.