Naar inhoud springen

powershell.exe

ToepassingsprocesMicrosoft Corporation

Catalogus zoektermen powershell, windows powershell

WindowsToepassing

Windows PowerShell 5.1. pwsh.exe is PowerShell 7. Ze kunnen beide aanwezig zijn. Het consolevenster is vaak conhost.exe.

Wat u moet weten

Dit is Windows PowerShell 5.1. Het script op de opdrachtregel vormt het risico, niet de hostnaam.

powershell.exe is Windows PowerShell. pwsh.exe is het nieuwere PowerShell. conhost.exe tekent het venster. Een verborgen powershell.exe vanuit een Word-macro is een opdrachtregelverhaal.

Veilig?
Controleer het pad, de handtekening en de uitgever van het actieve bestand. De naam alleen kan geen veiligheid aantonen.
Hetzelfde als pwsh?
Nee. pwsh is PowerShell 7
Waarom is conhost aanwezig?
Dat is het consolevenster
Feex zegt
Ik noem powershell.exe nooit malware alleen omdat het actief is. Ik lees de opdrachtregel. Een ondertekende host die een Temp-script start, is het probleem.

Wat is powershell.exe?

powershell.exe is Windows PowerShell 5.1, meegeleverd met Windows. Het is niet pwsh.exe, dat u installeert als PowerShell 7 van Microsoft.

Wat doet het?

Het voert scripts en cmdlets uit. Uitvoeringsbeleid kan niet-ondertekende lokale scripts blokkeren. Een bypass op de opdrachtregel is een waarschuwingssignaal als u deze niet zelf hebt getypt.

Waarom wordt het uitgevoerd?

U hebt een prompt geopend, een geplande taak of een installatieprogramma heeft een script gestart. Bestandsloze malware gebruikt deze host ook. Pad plus opdrachtregel bepalen het verhaal.

Inspecteer de actieve instantie

In Windows PowerShell, deze alleen-lezen query toont overeenkomende proces-ID's, aanmaaktijden en uitvoerbare paden op deze pc.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Geen resultaat of een ontoegankelijk pad is niet doorslaggevend. Beveiligde processen kunnen toegang beperken en proces-ID's kunnen worden hergebruikt. Houd persoonlijke paden lokaal.

Gebruik de bestandsidentificatiegids om handtekeningen en productmetadata te vergelijken. Een bestandsnaam alleen kan geen veiligheid vaststellen.

Is het veilig?

Host is legitiem. Script is de vraag

powershell.exe in System32 of SysWOW64 is de Windows-host. Veiligheid draait om het bovenliggende proces en de regel met -Command / -EncodedCommand. Oordelen puur op bestandsnaam falen hier.

Vergelijk de vastgelegde locatie met het daadwerkelijke bestand. Een bekende map alleen vestigt geen identiteit.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

  • PowerShell 7 is pwsh.exe
  • 32-bits host bevindt zich onder SysWOW64
  • Lees altijd de argumenten

Kan ik het beëindigen?

Stopt dat script

Het beëindigen van powershell.exe stopt die sessie. Als een taak het herstart, zoek dan de taak. Het beëindigen van conhost.exe sluit alleen het venster.

Kan ik het verwijderen?

Nee

Verwijder powershell.exe niet. Beperk scriptuitvoering met beleid als dit een vergrendelde pc is. Windows-onderhoud vereist de host.

Moet het samen met Windows starten?

Een opstartend PowerShell-proces met een verborgen venster is een persistentiecontrole. Een interactieve snelkoppeling die u zelf hebt gemaakt, is prima.

Meet resourcegebruik

Meet het huidige proces in plaats van uit te gaan van een universele basislijn
CPU en geheugen Vergelijk verschillende waarnemingen voor dezelfde PID en workload. Deze vermelding heeft geen onafhankelijk gemeten universele basislijn.
Schijf en netwerk Schrijf activiteit toe aan het daadwerkelijke proces en de huidige taak; een bestandsnaam alleen vestigt geen verwachte bestemmingen of overdrachtsvolume.

Bestandsinformatie

powershell.exe-bestandsinformatie
Naam van uitvoerbaar bestand powershell.exe
Vastgelegd installatiepad C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Uitgever Microsoft Corporation
Handtekeningcontrole Inspecteer het daadwerkelijke bestand; deze vermelding certificeert de identiteit van het certificaat niet.

Veelvoorkomende problemen

EncodedCommand bij aanmelden

Kopieer de regel en decodeer deze in een veilige teksteditor. Dat is de payload, niet "PowerShell is een virus".

Verward met cmd

Batchbestanden zijn cmd.exe. PowerShell-profielen zijn een ander opstartbestand.

Probleemoplossing

Stel een diagnose voordat u destructieve wijzigingen aanbrengt.

Controleer bovenliggende PID

winword dat powershell start, wijst op een Office-macro. explorer die het start nadat u op een snelkoppeling hebt geklikt, bent u zelf.

Schakel PowerShell niet uit om één script te stoppen

Verwijder de taak of het document. De host is een hulpmiddel.

Technische details

Technische details
Technische gegevens powershell.exe
Image-naam powershell.exe
Nevenproces pwsh.exe (PowerShell 7)

Controleer de identiteit van een actief bestand

Een bestandsnaam alleen kan geen veiligheid vaststellen. Verifieer het daadwerkelijke pad, de handtekening en de productidentiteit.

Bronnen en verificatie

Vastgelegd bronlabel: augustus 2026. Dit label vormt geen onafhankelijke verificatie. Hoe wij onderzoek doen.

Was dit artikel nuttig?

Een ja of nee is voldoende. Kies desgewenst een reden of voeg een korte opmerking toe.

Was dit artikel nuttig?