Direkt zum Inhalt

powershell.exe

AawändigsprozässMicrosoft Corporation

Suchbegriffe im Katalog: powershell, windows powershell

WindowsAawändig

Windows PowerShell 5.1. pwsh.exe isch PowerShell 7. Beidi chönd vorhande sy. S Konsolefäischter isch hüüfig conhost.exe.

Was du wüsse muesch

Das isch Windows PowerShell 5.1. S Skript uf de Befehlszyyle isch s Risiko, nöd de Hostname.

powershell.exe isch Windows PowerShell. pwsh.exe isch s neuere PowerShell. conhost.exe zeichnet s Fäischter. E versteckti powershell.exe vome Word-Makro isch e Befehlszyyle-Gschicht.

Sicher?
Überprüef de Pfad, d Signatur und de Herusgeber vo de laufende Datei. De Name ällei garantiert kei Sicherheit.
Gliich wie pwsh?
Nei. pwsh isch PowerShell 7
Warum isch conhost da?
Das isch s'Konsolefenschter
Feex meint
Ich bezeichne powershell.exe nie als Schadsoftware, nur will s lauft. Ich lise d Befehlszyyle. En signierte Host, wo nes Temp-Skript startet, isch s Problem.

Was isch powershell.exe?

powershell.exe isch Windows PowerShell 5.1, mitgliferet mit Windows. Es isch nöd pwsh.exe, wo me als PowerShell 7 vo Microsoft installiert.

Was macht das?

Es füehrt Skripts und Cmdlets uus. D Uusfüehrigsrichtlinie cha unsignierti lokali Skripts blockiere. En Bypass uf de Befehlszyyle isch es Warnsignal, wänn du's nöd sälber tippt häsch.

Warum lauft das?

Du häsch en Iigabeufforderig uftaa, en plänti Uufgab oder en Installer hät es Skript gstartet. Datei-losi Malware bruucht dää Host au. Pfad plus Befehlszyyle entscheidet über d Gschicht.

Laufendi Instanz inspiziere

I Windows PowerShell listet die schriibgschützti Abfrag passendi Prozess-IDs, Erstellzite und Pfad zum usführbare Programm uf dem PC uf.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Kein Ergebis oder en unerreichbari Pfad isch ned abschliessend. Gschützi Prozässe chönd de Zugrif einschränke, und Prozess-IDs chönd wiederverwendet werde. Halte persönlichi Pfad lokal.

Bruuch de Datei-Identitäts-Führer zum Vergliich vo Signature und Produktmetadate. En Dateiname alliä chan kei Sicherheit bestätige.

Isch es sicher?

Host isch legitim. Skript isch d Frag

powershell.exe in System32 oder SysWOW64 isch de Windows-Host. D Sicherhit definiert sich dur de übergoordneti Prozess und d -Command / -EncodedCommand-Zyyle. Urteil nur anhand vom Dateiname funktioniered da nöd.

Vergliich de aufgezeichnete Ort mit de tatsächliche Datei. En bekannte Ordner alliä bestätigt d'Identität ned.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 isch pwsh.exe
  • 32-Bit-Host liit under SysWOW64
  • Lis immer d Argument

Chan ich's beände?

Stoppt das Skript

powershell.exe beände bricht die Sitzig ab. Wänn en Task si neu startet, suech dää Task. conhost.exe beände schlüsst nur s Fäischter.

Chan ich's entferne?

Nei

Lösch powershell.exe nöd. Schränk d Skriptuusfüehrig mit Richtlinie ii, wänn das en gsperrte PC isch. D Windows-Wartig setzt dää Host voruus.

Sött's mit Windows starte?

E Autostart-PowerShell mit verstecktem Fäischter isch en Persischtänz-Prüefig. E interaktivi Verknüpfig, wo du sälber gmacht häsch, isch in Ornig.

Ressource-Nutzig missse

Miss de aktuelle Prozess, statt en universelle Basiswert aaznähme
CPU und Speicher Vergliich mehri Beobachtige für die gliichi PID und Arbeitslast. Dä Itrag hät kei unabhängig gemessene universelle Basiswert.
Festplatte und Netzwerk Ordne Aktivitätem em tatsächliche Prozess und de aktuelle Ufgab zue; en Dateiname alliä bestätigt ned erwarteti Ziel oder Übertragigsvolume.

Datei-Informatione

powershell.exe Datei-Informatione
Name vom Programm powershell.exe
Aufzeichneti Installationspfad C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Herusgeber Microsoft Corporation
Signaturprüfig D'tatsächliche Datei inspiziere; dä Itrag zertifiziert d'Identität vom Zertifikat ned.

Hüüfigi Problem

EncodedCommand bim Aamälde

Kopier d Zyyle und decodier si imene sichere Editor. Das isch d Nutzlascht, nöd "PowerShell isch en Virus".

Verwächslet mit cmd

Batch-Dateie sind cmd.exe. PowerShell-Profile sind anderi Startdateie.

Fählersuechi

Diagnostizier, bevor du öppis Zerschtörerischs machsch.

Übergoordneti PID überpfrüefe

winword, wo powershell startet, isch e Office-Makro-Gschicht. explorer, wo's startet, nachdem du uf e Verknüpfig klickt häsch, bisch du.

Deaktivier PowerShell nöd, nur zum eis Skript z stoppe

Entfern de Task oder s Dokumänt. De Host isch es Wärchzüüg.

Technischi Detail

Technischi Detail
powershell.exe technischi Details
Abbildname powershell.exe
Gschwüschterti pwsh.exe (PowerShell 7)

Identität vonere laufende Datei überprüefe

En Dateiname alliä chan kei Sicherheit bestätige. Überprüf de tatsächliche Pfad, d'Signatur und d'Produktidentität.

Quelle und Verifikation

Erfassts Quell-Label: August 2026. Das Label stellt kei unabhängigi Verifikation dar. Wie mir recherchiered.

Isch dä Artikel nützlich gsi?

Es Ja oder Nei längt. Wähl en Grund us, wänn du wotsch, oder schryb e churzi Notiz.

Isch dä Artikel nützlich gsi?