1. [Wiki](https://feex.it/wiki/)
2. [Prozess](https://feex.it/wiki/process/)
3. [Applikationsprozesse](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Owendungsprozess: Microsoft Corporation

Suchbegriffe im Katalog powershell, windows powershell

Windows, Owendung

Windows PowerShell 5.1. pwsh.exe is PowerShell 7. Beide kenna do sei. S Konsolenfenster is oft conhost.exe.

## Wos ma wissn muaß

Des is Windows PowerShell 5.1. S Skript auf da Befehlszeiln is s Risiko, ned da Host-Nam.

powershell.exe is Windows PowerShell. pwsh.exe is de neiare PowerShell. conhost.exe zeichnet des Fensta. A vasteckts powershell.exe aus am Word-Makro is a Befehlszeiln-Gschicht.

- **Sicha?**: Bschau an Pfad, d'Signatur und an Heasteja vo da laffendn Datei. Da Nam alloa bweist no koa Sichaheit.

  **Des Gleiche wia pwsh?**: Naa. pwsh is PowerShell 7

  **Warum is conhost do?**: Des is des Konsolnfensta

Feex sogt

I bezeichn powershell.exe nia ois Schadsoftware, blos weil s lafft. I liass de Befehlszeiln. A signierta Host, dea a Temp-Skript ausfiaht, is des Problem.

## Wos is powershell.exe?

powershell.exe is Windows PowerShell 5.1, des mid Windows ausgliefat werd. S is ned pwsh.exe, des ma ois PowerShell 7 vo Microsoft installiert.

## Wos duad des?

S fiaht Skripte und Cmdlets aus. De Ausfiarungsrichtlinie (Execution Policy) ko unsignierte lokale Skripte blockiern. A Bypass auf da Befehlszeiln is a Alarmsignal, wann du des ned eitippt host.

## Warum lafft des?

Du host a Eingabeaufforderung gstart, a geplante Aufgabe oda a Installer hod a Skript ausgfiaht. Dateilose Schadsoftware nutzt den Host aa. Pfad plus Befehlszeiln entscheidn ibas Problem.

## Die laufende Instanz inspizieren

In Windows PowerShell listet diese schreibgeschützte Abfrage passende Prozess-IDs, Erstellungszeiten und ausführbare Pfade auf diesem PC auf.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Kein Ergebnis oder ein unzugänglicher Pfad ist nicht schlüssig. Geschützte Prozesse können den Zugriff einschränken, und Prozess-IDs können wiederverwendet werden. Halten Sie persönliche Pfade lokal.

Verwenden Sie den [Dateiidentifikationsleitfaden](https://feex.it/wiki/l/bar/software/system/verify-executable-path-signature/) zum Vergleichen von Signaturen und Produktmetadaten. Ein Dateiname allein kann keine Sicherheit feststellen.

## Is des sicha?

Host is legitim. S Skript is de Frog

powershell.exe in System32 oda SysWOW64 is da Windows-Host. Sichaheit hängt vom Ibgeordnetn Prozess und da -Command / -EncodedCommand-Zeiln ob. Urteile rein nochm Dateinam scheitan do.

Vergleichen Sie den aufgezeichneten Speicherort mit der tatsächlichen Datei. Ein vertrauter Ordner allein stellt keine Identität fest.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 is pwsh.exe
- 32-Bit-Host liegt unta SysWOW64
- Lias imma de Argumente

## Ko i des beendn?

Stoppt des Skript

S Beendn vo powershell.exe bricht de Sitzung ob. Wann a Aufgabe s nei start, suach de Aufgabe. S Beendn vo conhost.exe schliaßt nua des Fensta.

## Ko i des leschn?

Na

Lösch powershell.exe ned. Schränk de Skriptausfiahrung iba Richtlinien ei, wann des a obgsicherta PC is. De Windows-Wartung braucht den Host.

## Soit des mit Windows startn?

A Autostart-PowerShell mid vastecktem Fensta is a Persistenz-Prüfung. A interaktive Vaknüpfung, de du sejba oglegt host, is bassnd.

## Ressourcennutzung messen

| CPU und Speicher        | Vergleichen Sie mehrere Beobachtungen für dieselbe PID und Arbeitslast. Dieser Eintrag hat keine unabhängig gemessene universelle Basislinie.                      |
| ----------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Festplatte und Netzwerk | Ordnen Sie die Aktivität dem tatsächlichen Prozess und der aktuellen Aufgabe zu; ein Dateiname allein stellt keine erwarteten Ziele oder Übertragungsvolumen fest. |

## Datei-Informationa

| Nam vo da ausfiahrborn Datei      | powershell.exe                                                                                       |
| --------------------------------- | ---------------------------------------------------------------------------------------------------- |
| Aufgezeichneter Installationspfad | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                                            |
| Heasteja                          | Microsoft Corporation                                                                                |
| Signaturprüfung                   | Inspizieren Sie die tatsächliche Datei; dieser Eintrag bescheinigt nicht deren Zertifikatsidentität. |

## Haifige Probleme

### EncodedCommand beim Omejdn

Kopian de Zeiln und dekodian s in am sichan Editor. Des is de Nutzlast (Payload), ned „PowerShell is a Virus“.

### Vawexlt mid cmd

Batch-Dateien san cmd.exe. PowerShell-Profile san a ondane Startdatei.

## Fehlersuach

Diagnostizier z'eascht, bevورst wos vaändast, des wos hii mocht.

### Ibgeordnete PID (Parent PID) prüfn

Wann winword PowerShell start, is des a Office-Makro-Gschicht. Wann explorer s start, nochdemst auf a Vaknüpfung klickt host, bist as sejba gwen.

### Deaktivier PowerShell ned, nua um oa oanzigs Skript z stoppn

Entfern de Aufgabe oda des Dokument. Da Host is a Werkzeig.

## Technischn Details

Technischn Details

| Image-Nam     | powershell.exe          |
| ------------- | ----------------------- |
| Gschwistakind | pwsh.exe (PowerShell 7) |

## Identität vo ana laffadn Datei ibapriafe

Ein Dateiname allein kann keine Sicherheit feststellen. Überprüfen Sie den tatsächlichen Pfad, die Signatur und die Produktidentität.

## Vawandt

De Eintrög ghern zua deam Artikl. Da Typ wead bei jedem Link zoagt.

[Windows PowerShell: Owendung](https://feex.it/wiki/l/bar/software/windows-powershell/)[cmd.exe: Owendungsprozess](https://feex.it/wiki/l/bar/process/cmd.exe/)[conhost.exe: Windows-Prozess](https://feex.it/wiki/l/bar/process/conhost.exe/)[Überprüfen Sie einen ausführbaren Pfad und eine digitale Signatur: Oleitong](https://feex.it/wiki/l/bar/software/system/verify-executable-path-signature/)[Task-Manager lesen und Prozessaktivität vergleichen: Oleitong](https://feex.it/wiki/l/bar/software/system/how-to-read-task-manager/)[Applikationsprozesse: Kategorie](https://feex.it/wiki/process/application/)

## Quöin und Iwerbriaftung

Eafossta Quöin-Stand: August 2026. De Kennzeichnung blegt koa unabhängige Iwerbriaftung. [Wia mia recherchiern](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell und pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Hostprozess fia Konsolfensta
- [Foxhole-Prozesskoatn ](https://foxhole.feex.it/)· Echte Stichprobn vo Windows-PCs. Koa Laboa-Benchmark.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Eakleat, wia ma Dateisignaturen iwerbriaft. De Quöin bweist ned d'Identität oda Sichaheit vo ana bstimmtn laffendn Datei.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Schreibgeschütztes lokales Prozessabfrageverfahren.
- [Microsoft: Win32_Process-Eigenschaften ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Dokumentiert Prozess-IDs, ausführbare Pfade, Erstellungsdaten und Wiederverwendung von Eltern-IDs.

## War dea Artikl huifreich?

A Ja oda Na glangt scho. Suach da an Grund aus, wennst mogst, oda schreib a kuaze Notiz.

Iwerblick

De kuaze Identität vo deara Seitn. Spezifikationa, Quöin und d'ganze Gschicht bleibn im Artikl.

- **Typ**: Owendungsprozess

  **Heasteja**: Microsoft Corporation

  **Ausfiahrbore Datei**: powershell.exe

  **Ibageordnete App**: [Windows PowerShell](https://feex.it/wiki/l/bar/software/windows-powershell/)

  **Kontext aufzeichnen**: Feex Wiki Referenzeintrag

Eafassta Quejnstatus: Vo Feex ibapriaft: Eafossta Quöin-Stand: August 2026. De Kennzeichnung blegt koa unabhängige Iwerbriaftung.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/bar/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)