Přejít k obsahu

powershell.exe

Proces aplikaceMicrosoft Corporation

Vyhledávací výrazy katalogu powershell, windows powershell

WindowsAplikace

Windows PowerShell 5.1. pwsh.exe je PowerShell 7. Mohou být přítomny oba. Okno konzoly je často conhost.exe.

Co potřebujete vědět

Toto je Windows PowerShell 5.1. Rizikem je skript na příkazovém řádku, nikoli název hostitele.

powershell.exe je Windows PowerShell. pwsh.exe je novější PowerShell. conhost.exe vykresluje okno. Skrytý powershell.exe z makra aplikace Word je otázkou příkazového řádku.

Bezpečný?
Zkontrolujte cestu, podpis a vydavatele spuštěného souboru. Samotný název bezpečnost nezaručuje.
Stejné jako pwsh?
Ne. pwsh je PowerShell 7
Proč je tam conhost?
To je okno konzoly
Feex uvádí
Nikdy neoznačuji powershell.exe za malware jen proto, že běží. Čtu příkazový řádek. Problémem je podepsaný hostitel spouštějící skript z Temp.

Co je powershell.exe?

powershell.exe je Windows PowerShell 5.1, dodávaný s Windows. Není to pwsh.exe, který instalujete jako PowerShell 7 od Microsoftu.

Co dělá?

Spouští skripty a rutiny cmdlet. Zásady spouštění mohou blokovat nepodepsané místní skripty. Parametr bypass na příkazovém řádku je varovným signálem, pokud jste jej nezadali vy.

Proč běží?

Otevřeli jste příkazový řádek, naplánovanou úlohu nebo instalační program spustil skript. Tento proces využívá i bezsouborový malware. O situaci rozhoduje cesta spolu s příkazovým řádkem.

Zkontrolovat běžící instanci

V prostředí Windows PowerShell tento dotaz pouze pro čtení zobrazí odpovídající ID procesů, časy vytvoření a cesty k spustitelným souborům na tomto PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Žádný výsledek nebo nepřístupná cesta jsou neprůkazné. Chráněné procesy mohou omezit přístup a ID procesů lze znovu použít. Uchovávejte osobní cesty lokálně.

Použijte průvodce identifikací souborů k porovnání podpisů a metadat produktu. Samotný název souboru nemůže potvrdit bezpečnost.

Je bezpečný?

Hostitel je legitimní. Otázkou je skript

powershell.exe v System32 nebo SysWOW64 je hostitelský proces Windows. Bezpečnost závisí na nadřazeném procesu a řádku -Command / -EncodedCommand. Verdikty založené pouze na názvu souboru zde selhávají.

Porovnejte zaznamenané umístění se skutečným souborem. Známá složka sama o sobě nepotvrzuje identitu.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 je pwsh.exe
  • 32bitový hostitel se nachází v SysWOW64
  • Vždy čtěte argumenty

Mohu jej ukončit?

Zastaví daný skript

Ukončením powershell.exe se tato relace ukončí. Pokud ji úloha restartuje, vyhledejte danou úlohu. Ukončením conhost.exe pouze zavřete okno.

Mohu jej odebrat?

Ne

Neodstraňujte powershell.exe. Pokud jde o uzamčené PC, omezte spouštění skriptů pomocí zásad. Servisní mechanismy Windows tohoto hostitele očekávají.

Měl by se spouštět se systémem Windows?

PowerShell po spuštění se skrytým oknem je kontrola na perzistenci malwaru. Interaktivní zástupce, kterého jste sami vytvořili, je v pořádku.

Měření využití prostředků

Měřte aktuální proces spíše než předpokládat univerzální základní linii
CPU a paměť Porovnejte několik pozorování pro stejné PID a pracovní zátěž. Tento záznam nemá nezávisle měřenou univerzální základní linii.
Disk a síť Připisujte aktivitu skutečnému procesu a aktuální úloze; název souboru sám o sobě nestanovuje očekávané cíle ani objem přenosu.

Informace o souboru

Informace o souboru powershell.exe
Název spustitelného souboru powershell.exe
Zaznamenaná cesta instalace C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Vydavatel Microsoft Corporation
Kontrola podpisu Zkontrolujte skutečný soubor; tento záznam necertifikuje identitu jeho certifikátu.

Běžné problémy

EncodedCommand při přihlášení

Zkopírujte řádek a dekódujte jej v bezpečném editoru. To je skutečný payload, nikoli tvrzení "PowerShell je virus".

Záměna s cmd

Dávkové soubory jsou cmd.exe. Profily PowerShellu jsou jiný spouštěcí soubor.

Řešení potíží

Než provedete jakýkoli destruktivní krok, proveďte diagnostiku.

Zkontrolujte PID nadřazeného procesu

winword spouštějící powershell je případ maker Office. explorer spouštějící ho po kliknutí na zástupce jste vy.

Nezakazujte PowerShell kvůli zastavení jednoho skriptu

Odeberte úlohu nebo dokument. Tento hostitel je pouhý nástroj.

Technické podrobnosti

Technické podrobnosti
Technické podrobnosti o powershell.exe
Název obrazu powershell.exe
Příbuzný proces pwsh.exe (PowerShell 7)

Zkontrolujte identitu běžícího souboru

Samotný název souboru nemůže potvrdit bezpečnost. Ověřte skutečnou cestu, podpis a identitu produktu.

Zdroje a ověření

Zaznamenané označení zdroje: srpen 2026. Toto označení nepředstavuje nezávislé ověření. Jak provádíme výzkum.

Byl tento článek užitečný?

Stačí ano nebo ne. Pokud chcete, vyberte důvod nebo přidejte krátkou poznámku.

Byl tento článek užitečný?