powershell.exe

Proceso de aplicaciónMicrosoft Corporation

Términos de búsqueda del catálogo powershell, windows powershell

WindowsAplicación

Windows PowerShell 5.1. pwsh.exe es PowerShell 7. Ambos pueden estar presentes. La ventana de la consola suele ser conhost.exe.

Lo que necesita saber

Este es Windows PowerShell 5.1. El riesgo es el script en la línea de comandos, no el nombre del host.

powershell.exe es Windows PowerShell. pwsh.exe es el PowerShell más reciente. conhost.exe dibuja la ventana. Un powershell.exe oculto procedente de una macro de Word es una cuestión de la línea de comandos.

¿Seguro?: Compruebe la ruta, la firma y el editor del archivo en ejecución. El nombre por sí solo no puede determinar la seguridad.
¿Es lo mismo que pwsh?: No. pwsh es PowerShell 7
¿Por qué está conhost allí?: Esa es la ventana de la consola

Feex dice

Nunca califico powershell.exe como malware solo porque se esté ejecutando. Leo la línea de comandos. El problema es un host firmado que inicia un script en Temp.

¿Qué es powershell.exe?

powershell.exe es Windows PowerShell 5.1, incluido con Windows. No es pwsh.exe, que se instala como PowerShell 7 desde Microsoft.

¿Qué hace?

Ejecuta scripts y cmdlets. La directiva de ejecución puede bloquear scripts locales no firmados. Una omisión (bypass) en la línea de comandos es una señal de alerta si no la escribió usted.

¿Por qué se está ejecutando?

Abrió un símbolo del sistema, una tarea programada o un instalador ejecutó un script. El malware sin archivos también utiliza este host. La ruta junto con la línea de comandos determinan la situación.

Inspeccionar la instancia en ejecución

En Windows PowerShell, esta consulta de solo lectura enumera los IDs de proceso coincidentes, los tiempos de creación y las rutas ejecutables en este PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Ningún resultado o una ruta inaccesible no es concluyente. Los procesos protegidos pueden restringir el acceso y los IDs de proceso pueden reutilizarse. Mantenga las rutas personales locales.

Use la guía de identidad de archivo para comparar firmas y metadatos del producto. Un nombre de archivo solo no puede establecer la seguridad.

¿Es seguro?

El host es legítimo. La duda está en el script

El powershell.exe de System32 o SysWOW64 es el host de Windows. La seguridad depende del proceso principal y de la línea con -Command o -EncodedCommand. Los veredictos basados únicamente en el nombre de archivo fallan aquí.

Compare la ubicación registrada con el archivo real. Una carpeta familiar sola no establece la identidad.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 es pwsh.exe
El host de 32 bits reside bajo SysWOW64
Lea siempre los argumentos

¿Puedo finalizarlo?

Detiene ese script

Finalizar powershell.exe termina esa sesión. Si una tarea lo reinicia, busque la tarea. Finalizar conhost.exe solo cierra la ventana.

¿Puedo eliminarlo?

No elimine powershell.exe. Restrinja la ejecución de scripts mediante directivas si se trata de un equipo bloqueado. El mantenimiento de Windows requiere este host.

¿Debería iniciarse con Windows?

Un PowerShell en el Inicio con ventana oculta es un indicio de persistencia. Un acceso directo interactivo creado por usted es seguro.

Medir el uso de recursos

Mida el proceso actual en lugar de asumir una línea de base universal
CPU y memoria	Compare varias observaciones para el mismo PID y carga de trabajo. Esta entrada no tiene una línea de base universal medida de forma independiente.
Disco y red	Atribuya la actividad al proceso real y a la tarea actual; un nombre de archivo solo no establece los destinos esperados ni el volumen de transferencia.

Información del archivo

Información del archivo powershell.exe
Nombre del ejecutable	powershell.exe
Ruta de instalación registrada	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Editor	Microsoft Corporation
Verificación de firma	Inspeccione el archivo real; esta entrada no certifica la identidad de su certificado.

Problemas comunes

EncodedCommand al iniciar sesión

Copie la línea y descodifíquela en un editor seguro. Esa es la carga útil, no el hecho de que "PowerShell sea un virus".

Confusión con cmd

Los archivos por lotes pertenecen a cmd.exe. Los perfiles de PowerShell son un archivo de inicio diferente.

Solución de problemas

Diagnostique antes de realizar cualquier cambio destructivo.

Inspeccionar el PID principal

Que winword ejecute powershell apunta a una macro de Office. Que explorer lo ejecute tras hacer clic en un acceso directo es acción suya.

No deshabilite PowerShell para detener un solo script

Elimine la tarea o el documento. El host es solo una herramienta.

Detalles técnicos

Detalles técnicos de powershell.exe
Nombre de la imagen	powershell.exe
Proceso hermano	pwsh.exe (PowerShell 7)

Comprobar la identidad de un archivo en ejecución

Un nombre de archivo solo no puede establecer la seguridad. Verifique la ruta real, la firma y la identidad del producto.

Fuentes y verificación

Etiqueta de fuente registrada: agosto de 2026. Esta etiqueta no establece una verificación independiente. Cómo investigamos.

Microsoft Learn: PowerShell · Windows PowerShell y pwsh
Microsoft Learn: conhost · Host de la ventana de consola
Mapa de procesos de Foxhole · Muestras directas en PC con Windows. No es una prueba comparativa de laboratorio.
Microsoft Sysinternals: Sigcheck · Explica cómo inspeccionar las firmas de archivos. Esta referencia no establece la identidad ni la seguridad de un archivo en ejecución en particular.
Microsoft: Get-CimInstance · Método de consulta de procesos local de solo lectura.
Microsoft: Win32_Process properties · Documenta IDs de proceso, rutas ejecutables, fechas de creación y reutilización de ID de padre.

¿Fue útil este artículo?

Un sí o un no es suficiente. Elija un motivo si lo desea o agregue una breve nota.