Zum Inhalt springen

powershell.exe

AnwendungsprozessMicrosoft Corporation

Katalogsuchbegriffe powershell, windows powershell

WindowsAnwendung

Windows PowerShell 5.1. pwsh.exe ist PowerShell 7. Beide können vorhanden sein. Das Konsolenfenster ist oft conhost.exe.

Was Sie wissen müssen

Dies ist Windows PowerShell 5.1. Das Skript in der Befehlszeile stellt das Risiko dar, nicht der Hostname.

powershell.exe ist Windows PowerShell. pwsh.exe ist das neuere PowerShell. conhost.exe zeichnet das Fenster. Eine ausgeblendete powershell.exe durch ein Word-Makro ist eine Befehlszeilen-Angelegenheit.

Sicher?
Überprüfen Sie Pfad, Signatur und Herausgeber der ausgeführten Datei. Der Name allein kann keine Sicherheit belegen.
Dasselbe wie pwsh?
Nein. pwsh ist PowerShell 7
Warum ist conhost vorhanden?
Das ist das Konsolenfenster
Feex sagt
Ich bezeichne powershell.exe nie als Malware, nur weil es ausgeführt wird. Ich lese die Befehlszeile. Ein signierter Host, der ein Temp-Skript startet, ist das Problem.

Was ist powershell.exe?

powershell.exe ist Windows PowerShell 5.1, das mit Windows ausgeliefert wird. Es ist nicht pwsh.exe, das Sie als PowerShell 7 von Microsoft installieren.

Was macht es?

Es führt Skripts und Cmdlets aus. Die Ausführungsrichtlinie kann unsignierte lokale Skripts blockieren. Eine Umgehung (Bypass) in der Befehlszeile ist ein Warnsignal, wenn Sie sie nicht selbst eingegeben haben.

Warum läuft es?

Sie haben eine Eingabeaufforderung geöffnet, eine geplante Aufgabe oder ein Installationsprogramm hat ein Skript gestartet. Auch dateilose Malware nutzt diesen Host. Pfad plus Befehlszeile entscheiden über den Kontext.

Die laufende Instanz untersuchen

In Windows PowerShell listet diese schreibgeschützte Abfrage übereinstimmende Prozess-IDs, Erstellungszeiten und ausführbare Pfade auf diesem PC auf.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Kein Ergebnis oder ein unzugänglicher Pfad ist nicht schlüssig. Geschützte Prozesse können den Zugriff einschränken, und Prozess-IDs können wiederverwendet werden. Halten Sie persönliche Pfade lokal.

Verwenden Sie den Dateiidentifizierungsleitfaden zum Vergleichen von Signaturen und Metadaten des Produkts. Ein Dateiname allein kann keine Sicherheit feststellen.

Ist es sicher?

Der Host ist legitim. Das Skript ist die Frage

System32- oder SysWOW64-powershell.exe ist der Windows-Host. Die Sicherheit hängt vom übergeordneten Prozess und der Zeile -Command / -EncodedCommand ab. Urteile allein nach dem Dateinamen schlagen hier fehl.

Vergleichen Sie den aufgezeichneten Speicherort mit der tatsächlichen Datei. Ein bekannter Ordner allein begründet keine Identität.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 ist pwsh.exe
  • Der 32-Bit-Host befindet sich unter SysWOW64
  • Lesen Sie immer die Argumente

Kann ich es beenden?

Beendet dieses Skript

Das Beenden von powershell.exe bricht diese Sitzung ab. Wenn eine Aufgabe sie neu startet, finden Sie die Aufgabe. Das Beenden von conhost.exe schließt nur das Fenster.

Kann ich es entfernen?

Nein

Löschen Sie powershell.exe nicht. Schränken Sie die Skriptausführung über Richtlinien ein, falls dies ein gesperrter PC ist. Die Windows-Wartung setzt den Host voraus.

Sollte es mit Windows starten?

Eine PowerShell beim Autostart mit ausgeblendetem Fenster ist eine Persistenz-Prüfung. Eine von Ihnen erstellte interaktive Verknüpfung ist unbedenklich.

Ressourcennutzung messen

Messen Sie den aktuellen Prozess, anstatt eine universelle Basislinie anzunehmen
CPU und Speicher Vergleichen Sie mehrere Beobachtungen für dieselbe PID und Arbeitslast. Dieser Eintrag hat keine unabhängig gemessene universelle Basislinie.
Festplatte und Netzwerk Ordnen Sie die Aktivität dem tatsächlichen Prozess und der aktuellen Aufgabe zu; ein Dateiname allein begründet keine erwarteten Ziele oder Übertragungsvolumen.

Dateiinformationen

powershell.exe Dateiinformationen
Name der ausführbaren Datei powershell.exe
Aufgezeichneter Installationspfad C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Herausgeber Microsoft Corporation
Signaturprüfung Untersuchen Sie die tatsächliche Datei; dieser Eintrag bescheinigt nicht ihre Zertifikatsidentität.

Häufige Probleme

EncodedCommand bei der Anmeldung

Kopieren Sie die Zeile und dekodieren Sie sie in einem sicheren Editor. Das ist die Nutzlast, nicht "PowerShell ist ein Virus".

Verwechslung mit cmd

Batch-Dateien gehören zu cmd.exe. PowerShell-Profile sind eine andere Autostart-Datei.

Fehlerbehebung

Diagnostizieren Sie, bevor Sie destruktive Änderungen vornehmen.

Übergeordnete PID überprüfen

Wenn winword powershell startet, handelt es sich um ein Office-Makro. Wenn explorer es startet, nachdem Sie auf eine Verknüpfung geklickt haben, waren Sie es selbst.

Deaktivieren Sie PowerShell nicht, um ein einzelnes Skript zu stoppen

Entfernen Sie die Aufgabe oder das Dokument. Der Host ist ein Werkzeug.

Technische Details

Technische Details
powershell.exe Technische Details
Abbildname powershell.exe
Geschwisterprozess pwsh.exe (PowerShell 7)

Identität einer laufenden Datei überprüfen

Ein Dateiname allein kann keine Sicherheit feststellen. Überprüfen Sie den tatsächlichen Pfad, die Signatur und die Produktidentität.

Quellen und Verifizierung

Erfasstes Quellenlabel: August 2026. Dieses Label begründet keine unabhängige Verifizierung. Wie wir recherchieren.

War dieser Artikel nützlich?

Ein Ja oder Nein genügt. Wählen Sie optional einen Grund oder fügen Sie eine kurze Notiz hinzu.

War dieser Artikel nützlich?