Salta al contenuto

powershell.exe

Processo applicativoMicrosoft Corporation

Termini di ricerca del catalogo powershell, windows powershell

WindowsApplicazione

Windows PowerShell 5.1. pwsh.exe è PowerShell 7. Possono essere presenti entrambi. La finestra della console è spesso conhost.exe.

Cosa c'è da sapere

Questo è Windows PowerShell 5.1. Il rischio è rappresentato dallo script sulla riga di comando, non dal nome dell'host.

powershell.exe è Windows PowerShell. pwsh.exe è il più recente PowerShell. conhost.exe disegna la finestra. Un powershell.exe nascosto avviato da una macro di Word è una questione legata alla riga di comando.

Sicuro?
Controlla il percorso del file in esecuzione, la firma e il publisher. Il solo nome non basta a stabilire la sicurezza.
È uguale a pwsh?
No. pwsh è PowerShell 7
Perché è presente conhost?
Quella è la finestra della console
Feex dice
Non definisco mai powershell.exe un malware solo perché è in esecuzione. Leggo la riga di comando. Un host con firma valida che avvia uno script in Temp costituisce il vero problema.

Che cos'è powershell.exe?

powershell.exe è Windows PowerShell 5.1, integrato in Windows. Non è pwsh.exe, che viene installato come PowerShell 7 da Microsoft.

Cosa fa?

Esegue script e cmdlet. I criteri di esecuzione possono bloccare gli script locali non firmati. Un bypass sulla riga di comando è un campanello d'allarme se non è stato digitato manualmente.

Perché è in esecuzione?

È stato aperto un prompt, un'attività pianificata o un programma di installazione ha avviato uno script. Anche il malware fileless utilizza questo host. Il percorso combinato con la riga di comando chiarisce la situazione.

Ispeziona l'istanza in esecuzione

In Windows PowerShell, questa query di sola lettura elenca gli ID processo corrispondenti, i tempi di creazione e i percorsi eseguibili su questo PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Nessun risultato o un percorso inaccessibile è inconcludente. I processi protetti possono limitare l'accesso e gli ID processo possono essere riutilizzati. Mantieni i percorsi personali locali.

Usa la guida all'identità del file per confrontare firme e metadati del prodotto. Un nome file da solo non può stabilire la sicurezza.

È sicuro?

L'host è legittimo. Il dubbio riguarda lo script

powershell.exe in System32 o SysWOW64 è l'host di Windows. La sicurezza dipende dal processo padre e dalla riga con -Command / -EncodedCommand. I verdetti basati solo sul nome file qui non funzionano.

Confronta la posizione registrata con il file effettivo. Una cartella familiare da sola non stabilisce l'identità.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 è pwsh.exe
  • L'host a 32 bit si trova in SysWOW64
  • Leggere sempre gli argomenti

Posso terminarlo?

Arresta lo script in questione

Terminare powershell.exe arresta quella sessione. Se un'attività lo riavvia, individua l'attività. Terminare conhost.exe chiude unicamente la finestra.

Posso rimuoverlo?

No

Non eliminare powershell.exe. Se si tratta di un PC aziendale bloccato, limita l'esecuzione degli script tramite criteri. La manutenzione di Windows richiede la presenza dell'host.

Dovrebbe avviarsi con Windows?

Un'istanza di PowerShell all'avvio con una finestra nascosta richiede un controllo di persistenza. Un collegamento interattivo creato dall'utente non è problematico.

Misura l'uso delle risorse

Misura il processo corrente piuttosto che presumere una linea di base universale
CPU e memoria Confronta diverse osservazioni per lo stesso PID e carico di lavoro. Questa voce non ha una linea di base universale misurata in modo indipendente.
Disco e rete Attribuisci l'attività al processo effettivo e all'attività corrente; un nome file da solo non stabilisce le destinazioni previste o il volume di trasferimento.

Informazioni sul file

Informazioni sul file powershell.exe
Nome dell'eseguibile powershell.exe
Percorso di installazione registrato C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Publisher Microsoft Corporation
Controllo firma Ispeziona il file effettivo; questa voce non certifica l'identità del suo certificato.

Problemi comuni

EncodedCommand all'accesso

Copia la riga e decodificala in un editor sicuro. Quello è il payload effettivo, non significa che "PowerShell sia un virus".

Confuso con cmd

I file batch fanno capo a cmd.exe. I profili di PowerShell utilizzano un file di avvio differente.

Risoluzione dei problemi

Esegui una diagnosi prima di apportare modifiche distruttive.

Verifica il PID padre

Se winword avvia powershell si tratta di una macro di Office. Se explorer lo avvia dopo aver fatto clic su un collegamento, l'azione è intenzionale.

Non disabilitare PowerShell per fermare un singolo script

Rimuovi l'attività pianificata o il documento. L'host è soltanto uno strumento.

Dettagli tecnici

Dettagli tecnici
Dettagli tecnici su powershell.exe
Nome immagine powershell.exe
Elemento correlato pwsh.exe (PowerShell 7)

Verifica l'identita' di un file in esecuzione

Un nome file da solo non può stabilire la sicurezza. Verifica il percorso effettivo, la firma e l'identità del prodotto.

Fonti e verifica

Etichetta della fonte registrata: agosto 2026. Questa etichetta non costituisce una verifica indipendente. Come svolgiamo le ricerche.

Questo articolo è stato utile?

È sufficiente un sì o un no. Scegli un motivo, se desideri, o aggiungi una breve nota.

Questo articolo è stato utile?