コンテンツへスキップ

powershell.exe

アプリケーションプロセスMicrosoft Corporation

powershell、windows powershellのカタログ検索用語

Windowsアプリケーション

Windows PowerShell 5.1 です。pwsh.exe は PowerShell 7 です。両方が存在する場合があります。コンソール ウィンドウは多くの場合 conhost.exe です。

確認しておくべき要点

これは Windows PowerShell 5.1 です。ホスト名ではなく、コマンド ライン上のスクリプトがリスクとなります。

powershell.exe は Windows PowerShell です。pwsh.exe はより新しい PowerShell です。conhost.exe はウィンドウを描画します。Word マクロからの非表示の powershell.exe はコマンド ラインの問題です。

安全性について
実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。
pwsh と同じですか?
いいえ。pwsh は PowerShell 7 です
なぜ conhost が存在するのですか?
それがコンソール ウィンドウです
Feex の見解
実行中であるというだけで powershell.exe をマルウェアと呼ぶことはありません。コマンド ラインを確認します。署名されたホストが Temp スクリプトを起動していることが問題です。

powershell.exe とは?

powershell.exe は Windows に同梱されている Windows PowerShell 5.1 です。Microsoft から PowerShell 7 としてインストールする pwsh.exe ではありません。

どのような役割がありますか？

スクリプトとコマンドレットを実行します。実行ポリシーによって署名のないローカル スクリプトをブロックできます。自身で入力したものでない場合、コマンド ラインでのバイパスは危険信号です。

なぜ実行されているのですか？

プロンプトを開いたか、タスク スケジューラ、またはインストーラーがスクリプトを起動しました。ファイルレス マルウェアもこのホストを使用します。パスとコマンド ラインによって実態が判断されます。

実行中のインスタンスを検査する

Windows PowerShell では、この読み取り専用クエリは、この PC 上の一致するプロセス ID、作成時刻、および実行可能パスを一覧表示します。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

結果がない、またはアクセスできないパスは、決定的なものではありません。保護されたプロセスはアクセスを制限する可能性があり、プロセス ID は再利用される可能性があります。個人用パスはローカルに保持してください。

使用する ファイル識別ガイド 署名と製品メタデータを比較します。ファイル名だけでは安全性を確立できません。

安全ですか？

ホストは正当です。スクリプトが問題です

System32 または SysWOW64 の powershell.exe は Windows のホストです。安全性は親プロセスと -Command / -EncodedCommand の行で決まります。ファイル名だけの判定はここでは通用しません。

記録された場所と実際のファイルを比較してください。見慣れたフォルダだけでは識別情報は確立されません。

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 は pwsh.exe です
  • 32 ビット ホストは SysWOW64 の下に存在します
  • 常に引数を確認してください

終了してもよいですか？

該当スクリプトを停止する

powershell.exe を終了するとそのセッションが強制終了されます。タスクによって再起動される場合は、そのタスクを特定してください。conhost.exe を終了してもウィンドウが閉じるだけです。

削除してもよいですか？

削除しないでください

powershell.exe を削除しないでください。ロックダウンされた PC の場合は、ポリシーでスクリプトの実行を制限してください。Windows のサービス処理にはこのホストが必要です。

Windows と一緒に起動すべきですか？

非表示ウィンドウを伴うスタートアップの PowerShell は、永続化の確認対象です。自身で作成した対話型ショートカットであれば問題ありません。

リソース使用量を測定する

普遍的な基準を想定するのではなく、現在のプロセスを測定する
CPU とメモリ 同じ PID とワークロードに対する複数の観測値を比較してください。このエントリには、独立して測定された普遍的な基準はありません。
ディスクとネットワーク 実際のプロセスと現在のタスクにアクティビティを帰属させます。ファイル名だけでは、期待される宛先または転送量を確立できません。

ファイル情報

powershell.exe ファイル情報
実行可能ファイル名 powershell.exe
記録されたインストール パス C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
発行元 Microsoft Corporation
署名チェック 実際のファイルを検査してください。このエントリは、証明書の識別情報を認証しません。

よくある問題

ログオン時の EncodedCommand

その行をコピーし、安全なエディターでデコードしてください。それがペイロードであり、「PowerShell はウイルスである」というわけではありません。

cmd との混同

バッチ ファイルは cmd.exe です。PowerShell プロファイルは別のスタートアップ ファイルです。

トラブルシューティング

破壊的な変更を行う前に診断を行ってください。

親 PID を調査する

winword による powershell の起動は Office マクロのケースです。ショートカットをクリックした後に explorer が起動した場合はユーザー自身の操作です。

1 つのスクリプトを止めるために PowerShell を無効化しないでください

タスクまたはドキュメントを削除してください。ホストはツールにすぎません。

技術的な詳細

技術的な詳細
powershell.exe 技術詳細
イメージ名 powershell.exe
兄弟プロセス pwsh.exe (PowerShell 7)

実行中ファイルの同一性を確認する

ファイル名だけでは安全性を確立できません。実際のパス、署名、および製品の識別情報を確認してください。

出典と検証

記録された出典ラベル: 2026年8月。このラベルは独立した検証を証明するものではありません。 調査方法.

この記事は役に立ちましたか？

「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。

この記事は役に立ちましたか？