1. [Wiki](https://feex.it/wiki/)
2. [Prucesse](https://feex.it/wiki/process/)
3. [Prucesse applicative](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Prucesso d'applicazione: Microsoft Corporation

Termine 'e ricerca 'int'ô catalogo: powershell, windows powershell

Windows, Applicazzione

Windows PowerShell 5.1. pwsh.exe è PowerShell 7. Ponno stà tutte e dduje. 'A fenesta d' 'a console è quase sempe conhost.exe.

## Chello ca t'hê 'a sapé

Chisto è Windows PowerShell 5.1. 'O script ncopp'â linea 'e commando è 'o perìculo, nun 'o nomme 'e ll'host.

powershell.exe è Windows PowerShell. pwsh.exe è 'o PowerShell cchiù nuovo. conhost.exe disegna 'a fenesta. Nu powershell.exe annascunnuto 'a na macro 'e word è na storia 'e linea 'e commando.

- **Sicuro?**: Cuntrolla 'o percorso d''o file ca sta giranno, 'a firma e chi l'ha pubbrecato. 'O nomme surtanto nun po garantì 'a sicurezza.

  **'A stessa cosa 'e pwsh?**: None. pwsh è PowerShell 7

  **Pecché conhost sta llà?**: Chilla è 'a fenesta d''a console

Feex dice

Nun dico maje ca powershell.exe è malware sulo pecché sta giranno. Me leggo 'a linea 'e commando. N'host firmato ca lancia nu script 'a Temp è 'o problema.

## Che d'è powershell.exe?

powershell.exe è Windows PowerShell 5.1, dato 'nzieme a Windows. Nun è pwsh.exe, ca s'installa comme PowerShell 7 'a Microsoft.

## Che ffa?

Fa girà script e cmdlet. 'A policy d'esecuzzione pô bloccà script locale nun firmate. Nu bypass ncopp'â linea 'e commando è nu campanello d'allarme si nun ll'hê scritto tu.

## Pecché sta giranno?

Hê apierto nu prompt, n'operazzione chianificata, o n'installatore ha fatto partì nu script. Pure 'o malware senza file usa chisto host. 'O percorso nzieme c' 'a linea 'e commando decideno 'a storia.

## Ispettà l'istanza 'n corso

In Windows PowerShell, 'sta query 'a sulamente lettura elenca 'e ID d'e prucesse currispunnente, 'e tiempo 'e creazione e 'e percorso d'o file eseguibile nco 'a stu PC.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Nisciuno risultato o' nu percorso nun accessibbele è 'nconclusivo. Prucesse prutette ponno limità l'accesso, e 'e ID d'e prucesse ponno essere riutilizzate. Tène 'e percorso persunale lucale.

Use 'o [guida â identità d'o file](https://feex.it/wiki/l/nap/software/system/verify-executable-path-signature/) pe' cunfrontà 'e firme e 'e metadate d'o produttore. Nu nomme 'e file sulamente nun po' stabilì 'a sicurizza.

## È sicuro?

L'host è legittimo. 'O script è 'a dumanna

powershell.exe 'e System32 o SysWOW64 è ll'host 'e Windows. 'A sicurezza dipende d' 'o prucesso pate e d' 'a linea -Command / -EncodedCommand. 'E verditte basate sulo ncopp'ô nomme d' 'o file cà fallisceno.

Cunfronta 'o percorso registrato cu 'o file reale. Nu cartella familiare sulamente nun stabilisce l'identità.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 è pwsh.exe
- L'host a 32-bit sta sott'a SysWOW64
- Liggite sempe ll'argomente

## O pozzo cunchiudere?

Ferma chillu script

Chiurere powershell.exe accire chella sezzione. Si n'operazzione 'o fa ripartì, truova l'operazzione. Chiurere conhost.exe caccia sulo 'a fenesta.

## O pozzo caccià?

No

Nun scassà powershell.exe. Limita l'esecuzzione d' 'e script cu 'e policy si chisto è nu PC bloccato. 'O servicing 'e Windows ave besogno 'e ll'host.

## S'avess' 'a avvià cu Windows?

Nu PowerShell 'n Startup cu na fenesta annascunnuta è nu controllo 'e persistenza. Nu cullegamento nterattivo criato 'a te va bbuono.

## Mìsura ll'uso d'e risorsa

| CPU e memoria | Cunfronta diverse osservazione pe' 'o stesso PID e workload. 'Stu record nun tene nu baseline universale misurato 'n modo indipendente.                            |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Disco e rete  | Attrebbuisce ll'attività â prucesso reale e â attività attuale; nu nomme 'e file sulamente nun stabilisce 'e destinazione aspettate o 'o volume d'o trasferimento. |

## Nfurmaziune d''o file

| Nomme d''o file eseguibbele            | powershell.exe                                                                      |
| -------------------------------------- | ----------------------------------------------------------------------------------- |
| Percorso d'a installazzione registrato | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                           |
| Editore                                | Microsoft Corporation                                                               |
| Verifeca d'a firma                     | Ispettà 'o file reale; 'stu record nun certifica ll'identità d'o suoje certificato. |

## Prubleme cumune

### EncodedCommand ô logon

Copia 'a linea e decodìfecala dinto a n'editore sicuro. Chellu llà è 'o payload, nun è ca "PowerShell è nu virus".

### Cunfuso cu cmd

'E file batch songo cmd.exe. 'E prufile 'e PowerShell songo nu file 'e startup diverso.

## Risoluzzione d''e prubleme

Fa 'a diagnosi primma 'e cagnà quaccòsa ca po scassà.

### Cuntrolla 'o PID pate

winword ca lancia powershell è na storia 'e macro 'e Office. explorer ca 'o lancia aropp' ca hê cliccato nu cullegamento sî tu.

### Nun disattivà PowerShell pe fermà nu sulo script

Caccia ll'operazzione o 'o documento. L'host è sulo nu strumento.

## Dettaglie tecnece

Dettaglie tecnece

| Nomme 'e ll'immaggene | powershell.exe          |
| --------------------- | ----------------------- |
| Fratiello             | pwsh.exe (PowerShell 7) |

## Cuntrolla ll'identità 'e nu file ca sta giranno

Nu nomme 'e file sulamente nun po' stabilì 'a sicurizza. Verifeca 'o percorso reale, 'a firma e 'a identità d'o produttore.

## Cose cullegate

Sti ccose songo cullegate a chist'articulo. 'O tipo se vede 'ncopp'a ogne cullegamento.

[Windows PowerShell: Applicazzione](https://feex.it/wiki/l/nap/software/windows-powershell/)[cmd.exe: Prucesso d'applicazione](https://feex.it/wiki/l/nap/process/cmd.exe/)[conhost.exe: Prucesso 'e Windows](https://feex.it/wiki/l/nap/process/conhost.exe/)[Verifeca nu percorso eseguibile e 'a firma digitale: Guida](https://feex.it/wiki/l/nap/software/system/verify-executable-path-signature/)[Lèggi 'o Task Manager e cunfronta l'attività d'o prucesso: Guida](https://feex.it/wiki/l/nap/software/system/how-to-read-task-manager/)[Prucesse applicative: Categurìa](https://feex.it/wiki/process/application/)

## Funte e verìfeca

Etichetta d''a fonte reggistrata: aùsto 2026. 'St'etichetta nun custituisce verìfeca 'ndipennente. [Comme facimmo 'e recerche](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell e pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Host d' 'a fenesta d' 'a console
- [Mappa d''e prucesse 'e Foxhole ](https://foxhole.feex.it/)· Campiune dirette pigliate 'a PC Windows. Nun è nu benchmark 'e laboratorio.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Spiega comme cuntrullà 'e ffirme d''e ffile. Stu riferimiento nun stabilisce ll'identità o 'a sicurezza 'e nu particulare file ca sta giranno.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Metodo 'e query d'o prucesso lucale sulamente 'a lettura.
- [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Documenta 'e ID d'e prucesse, 'e percorso d'o file eseguibile, 'e date d'a creazione e 'o riutilizzo d'o ID d'o genitore.

## È servuto chist'articulo?

Basta nu sì o nu no. Si vuó, sciglie na mutivazzione o miett' na nota corta.

Fatte 'nzippate

'A carta d'identità corta 'e 'sta paggena. Dettaglie, funte e tutta 'a storia rumaneno dint'all'articulo.

- **Tipo**: Prucesso d'applicazione

  **Editore**: Microsoft Corporation

  **Eseguibbele**: powershell.exe

  **App pate**: [Windows PowerShell](https://feex.it/wiki/l/nap/software/windows-powershell/)

  **Registra 'o contesto**: Record d'a Feex Wiki

Stato d''a fonte riggistrata: Feex Reviewed: Etichetta d''a fonte reggistrata: aùsto 2026. 'St'etichetta nun custituisce verìfeca 'ndipennente.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/nap/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)