1. [Wiki](https://feex.it/wiki/) 2. [プロセス](https://feex.it/wiki/process/) 3. [アプリケーションプロセス](https://feex.it/wiki/process/application/) 4. powershell.exe # powershell.exe アプリケーションプロセス: Microsoft Corporation powershell、windows powershellのカタログ検索用語 Windows, アプリケーション Windows PowerShell 5.1 です。pwsh.exe は PowerShell 7 です。両方が存在する場合があります。コンソール ウィンドウは多くの場合 conhost.exe です。 ## 確認しておくべき要点 これは Windows PowerShell 5.1 です。ホスト名ではなく、コマンド ライン上のスクリプトがリスクとなります。 powershell.exe は Windows PowerShell です。pwsh.exe はより新しい PowerShell です。conhost.exe はウィンドウを描画します。Word マクロからの非表示の powershell.exe はコマンド ラインの問題です。 - **安全性について**: 実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。 **pwsh と同じですか?**: いいえ。pwsh は PowerShell 7 です **なぜ conhost が存在するのですか?**: それがコンソール ウィンドウです Feex の見解 実行中であるというだけで powershell.exe をマルウェアと呼ぶことはありません。コマンド ラインを確認します。署名されたホストが Temp スクリプトを起動していることが問題です。 ## powershell.exe とは? powershell.exe は Windows に同梱されている Windows PowerShell 5.1 です。Microsoft から PowerShell 7 としてインストールする pwsh.exe ではありません。 ## どのような役割がありますか？ スクリプトとコマンドレットを実行します。実行ポリシーによって署名のないローカル スクリプトをブロックできます。自身で入力したものでない場合、コマンド ラインでのバイパスは危険信号です。 ## なぜ実行されているのですか？ プロンプトを開いたか、タスク スケジューラ、またはインストーラーがスクリプトを起動しました。ファイルレス マルウェアもこのホストを使用します。パスとコマンド ラインによって実態が判断されます。 ## 実行中のインスタンスを検査する Windows PowerShell では、この読み取り専用クエリは、この PC 上の一致するプロセス ID、作成時刻、および実行可能パスを一覧表示します。 `Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List` 結果がない、またはアクセスできないパスは、決定的なものではありません。保護されたプロセスはアクセスを制限する可能性があり、プロセス ID は再利用される可能性があります。個人用パスはローカルに保持してください。 使用する [ファイル識別ガイド](https://feex.it/wiki/l/ja/software/system/verify-executable-path-signature/) 署名と製品メタデータを比較します。ファイル名だけでは安全性を確立できません。 ## 安全ですか？ ホストは正当です。スクリプトが問題です System32 または SysWOW64 の powershell.exe は Windows のホストです。安全性は親プロセスと -Command / -EncodedCommand の行で決まります。ファイル名だけの判定はここでは通用しません。 記録された場所と実際のファイルを比較してください。見慣れたフォルダだけでは識別情報は確立されません。 `C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe` - PowerShell 7 は pwsh.exe です - 32 ビット ホストは SysWOW64 の下に存在します - 常に引数を確認してください ## 終了してもよいですか？ 該当スクリプトを停止する powershell.exe を終了するとそのセッションが強制終了されます。タスクによって再起動される場合は、そのタスクを特定してください。conhost.exe を終了してもウィンドウが閉じるだけです。 ## 削除してもよいですか？ 削除しないでください powershell.exe を削除しないでください。ロックダウンされた PC の場合は、ポリシーでスクリプトの実行を制限してください。Windows のサービス処理にはこのホストが必要です。 ## Windows と一緒に起動すべきですか？ 非表示ウィンドウを伴うスタートアップの PowerShell は、永続化の確認対象です。自身で作成した対話型ショートカットであれば問題ありません。 ## リソース使用量を測定する | CPU とメモリ | 同じ PID とワークロードに対する複数の観測値を比較してください。このエントリには、独立して測定された普遍的な基準はありません。 | | ----------- | ----------------------------------------------------------------- | | ディスクとネットワーク | 実際のプロセスと現在のタスクにアクティビティを帰属させます。ファイル名だけでは、期待される宛先または転送量を確立できません。 | ## ファイル情報 | 実行可能ファイル名 | powershell.exe | | -------------- | --------------------------------------------------------- | | 記録されたインストール パス | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | | 発行元 | Microsoft Corporation | | 署名チェック | 実際のファイルを検査してください。このエントリは、証明書の識別情報を認証しません。 | ## よくある問題 ### ログオン時の EncodedCommand その行をコピーし、安全なエディターでデコードしてください。それがペイロードであり、「PowerShell はウイルスである」というわけではありません。 ### cmd との混同 バッチ ファイルは cmd.exe です。PowerShell プロファイルは別のスタートアップ ファイルです。 ## トラブルシューティング 破壊的な変更を行う前に診断を行ってください。 ### 親 PID を調査する winword による powershell の起動は Office マクロのケースです。ショートカットをクリックした後に explorer が起動した場合はユーザー自身の操作です。 ### 1 つのスクリプトを止めるために PowerShell を無効化しないでください タスクまたはドキュメントを削除してください。ホストはツールにすぎません。 ## 技術的な詳細 技術的な詳細 | イメージ名 | powershell.exe | | ------ | ----------------------- | | 兄弟プロセス | pwsh.exe (PowerShell 7) | ## 実行中ファイルの同一性を確認する ファイル名だけでは安全性を確立できません。実際のパス、署名、および製品の識別情報を確認してください。 ## 関連情報 これらはこの記事に関連する項目です。リンクごとに種別が表示されます。 [Windows PowerShell: アプリケーション](https://feex.it/wiki/l/ja/software/windows-powershell/)[cmd.exe: アプリケーションプロセス](https://feex.it/wiki/l/ja/process/cmd.exe/)[conhost.exe: Windows プロセス](https://feex.it/wiki/l/ja/process/conhost.exe/)[実行可能パスとデジタル署名をチェックする: ガイド](https://feex.it/wiki/l/ja/software/system/verify-executable-path-signature/)[タスク マネージャーを読み取り、プロセス アクティビティを比較する: ガイド](https://feex.it/wiki/l/ja/software/system/how-to-read-task-manager/)[アプリケーションプロセス: カテゴリ](https://feex.it/wiki/process/application/) ## 出典と検証 記録された出典ラベル: 2026年8月。このラベルは独立した検証を証明するものではありません。 [調査方法](https://feex.it/wiki/research/). - [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell と pwsh - [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· コンソール ウィンドウ ホスト - [Foxholeプロセスマップ ](https://foxhole.feex.it/)· Windows PC上のファーストパーティサンプル。ラボのベンチマークではありません。 - [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· ファイル署名の検査方法についての説明。このリファレンスは、実行中の特定ファイルの同一性や安全性を証明するものではありません。 - [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· 読み取り専用ローカル プロセス クエリ方法。 - [Microsoft: Win32_Process プロパティ ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· プロセス ID、実行可能パス、作成日、および親 ID の再利用を文書化します。 ## この記事は役に立ちましたか？ 「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。 概要情報 このページの簡単な要約です。仕様、情報源、詳細な内容は記事本文に記載されています。 - **種別**: アプリケーションプロセス **発行元**: Microsoft Corporation **実行可能ファイル**: powershell.exe **親アプリ**: [Windows PowerShell](https://feex.it/wiki/l/ja/software/windows-powershell/) **コンテキストを記録する**: Feex Wiki 参照エントリ 記録されたソースステータス: Feexレビュー済み: 記録された出典ラベル: 2026年8月。このラベルは独立した検証を証明するものではありません。 --- Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/ja/process/powershell.exe/) [Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)