1. [Wiki](https://feex.it/wiki/)
2. [Processos](https://feex.it/wiki/process/)
3. [Processos de aplicação](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Processo de aplicativo: Microsoft Corporation

Termos de pesquisa do catálogo powershell, windows powershell

Windows, Aplicativo

Windows PowerShell 5.1. O pwsh.exe é o PowerShell 7. Ambos podem estar presentes. A janela do console geralmente é conhost.exe.

## O que você precisa saber

Este é o Windows PowerShell 5.1. O script na linha de comando é o risco, não o nome do host.

O powershell.exe é o Windows PowerShell. O pwsh.exe é o PowerShell mais recente. O conhost.exe desenha a janela. Um powershell.exe oculto a partir de uma macro do Word é um caso de linha de comando.

- **Seguro?**: Verifique o caminho, a assinatura e o fornecedor do arquivo em execução. O nome por si só não pode comprovar a segurança.

  **Igual ao pwsh?**: Não. pwsh é o PowerShell 7

  **Por que o conhost está lá?**: Essa e a janela do console

A Feex diz

Eu nunca chamo o powershell.exe de malware só porque ele está em execução. Eu leio a linha de comando. Um host assinado iniciando um script no diretório Temp é o problema.

## O que é o powershell.exe?

O powershell.exe é o Windows PowerShell 5.1, fornecido com o Windows. Não é o pwsh.exe, que você instala como PowerShell 7 a partir da Microsoft.

## O que ele faz?

Ele executa scripts e cmdlets. A política de execução pode bloquear scripts locais não assinados. Um bypass na linha de comando é um sinal de alerta se você não o digitou.

## Por que está em execução?

Você abriu um prompt, uma tarefa agendada ou um instalador iniciou um script. Malware sem arquivos também usa este host. O caminho combinado com a linha de comando determinam o cenário.

## Inspecione a instância em execução

No Windows PowerShell, esta consulta somente leitura lista IDs de processo correspondentes, tempos de criação e caminhos executáveis neste PC.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Nenhum resultado ou um caminho inacessível é inconclusivo. Processos protegidos podem restringir o acesso e IDs de processo podem ser reutilizados. Mantenha caminhos pessoais locais.

Use o [guia de identidade de arquivo](https://feex.it/wiki/l/pt/software/system/verify-executable-path-signature/) para comparar assinaturas e metadados do produto. Um nome de arquivo sozinho não pode estabelecer segurança.

## Ele é seguro?

O host é legítimo. O script é o ponto em questão

O powershell.exe em System32 ou SysWOW64 é o host do Windows. A segurança reside no processo pai e na linha de comando -Command / -EncodedCommand. Vereditos baseados apenas no nome do arquivo falham aqui.

Compare o local registrado com o arquivo real. Uma pasta familiar sozinha não estabelece identidade.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 é o pwsh.exe
- O host de 32 bits reside sob SysWOW64
- Sempre leia os argumentos

## Posso finalizá-lo?

Interrompe esse script

Encerrar o powershell.exe encerra essa sessão. Se uma tarefa o reiniciar, encontre a tarefa. Encerrar o conhost.exe apenas descarta a janela.

## Posso removê-lo?

Não

Não exclua o powershell.exe. Restrinja a execução de scripts por meio de política se este for um PC bloqueado. A manutenção do Windows depende do host.

## Ele deve iniciar com o Windows?

Um PowerShell na Inicialização com janela oculta é uma verificação de persistência. Um atalho interativo que você mesmo criou não é problema.

## Meça o uso de recursos

| CPU e memória | Compare várias observações para o mesmo PID e carga de trabalho. Esta entrada não tem uma linha de base universal medida independentemente.   |
| ------------- | --------------------------------------------------------------------------------------------------------------------------------------------- |
| Disco e rede  | Atribua atividade ao processo real e à tarefa atual; um nome de arquivo sozinho não estabelece destinos esperados ou volume de transferência. |

## Informações do arquivo

| Nome do executável               | powershell.exe                                                                         |
| -------------------------------- | -------------------------------------------------------------------------------------- |
| Caminho de instalação registrado | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                              |
| Fornecedor                       | Microsoft Corporation                                                                  |
| Verificação de assinatura        | Inspecione o arquivo real; esta entrada não certifica a identidade do seu certificado. |

## Problemas comuns

### EncodedCommand no logon

Copie a linha e decodifique-a em um editor seguro. Essa é a carga útil, e não que "o PowerShell seja um vírus".

### Confundido com o cmd

Arquivos em lote pertencem ao cmd.exe. Perfis do PowerShell usam um arquivo de inicialização diferente.

## Solução de problemas

Diagnostique antes de fazer qualquer alteração destrutiva.

### Inspecione o PID pai

O winword iniciando o powershell é um caso de macro do Office. O explorer iniciando-o após você clicar em um atalho é você.

### Não desative o PowerShell para deter um único script

Remova a tarefa ou o documento. O host é apenas uma ferramenta.

## Detalhes técnicos

Detalhes técnicos

| Nome da imagem | powershell.exe          |
| -------------- | ----------------------- |
| Irmão          | pwsh.exe (PowerShell 7) |

## Verifique a identidade de um arquivo em execução

Um nome de arquivo sozinho não pode estabelecer segurança. Verifique o caminho real, a assinatura e a identidade do produto.

## Relacionados

Estas entidades conectam-se a este artigo. O tipo é indicado em cada link.

[Windows PowerShell: Aplicativo](https://feex.it/wiki/l/pt/software/windows-powershell/)[cmd.exe: Processo de aplicativo](https://feex.it/wiki/l/pt/process/cmd.exe/)[conhost.exe: Processo do Windows](https://feex.it/wiki/l/pt/process/conhost.exe/)[Verifique um caminho executável e a assinatura digital: Guia](https://feex.it/wiki/l/pt/software/system/verify-executable-path-signature/)[Leia o Gerenciador de Tarefas e compare a atividade do processo: Guia](https://feex.it/wiki/l/pt/software/system/how-to-read-task-manager/)[Processos de aplicação: Categoria](https://feex.it/wiki/process/application/)

## Fontes e verificação

Rótulo de fonte registrada: agosto de 2026. Este rótulo não comprova verificação independente. [Como pesquisamos](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell e pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Host de janela de console
- [Mapa de processos do Foxhole ](https://foxhole.feex.it/)· Amostras proprietárias em computadores Windows. Não é um benchmark de laboratório.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Explica como inspecionar assinaturas de arquivo. Esta referência não estabelece a identidade ou segurança de um arquivo específico em execução.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Método de consulta de processo local somente leitura.
- [Microsoft: Propriedades de Win32_Process ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Documenta IDs de processo, caminhos executáveis, datas de criação e reutilização de ID pai.

## Este artigo foi útil?

Um sim ou não é suficiente. Escolha um motivo se desejar, ou adicione uma breve observação.

Fatos rápidos

A identificação resumida desta página. Especificações, fontes e o conteúdo completo permanecem no artigo.

- **Tipo**: Processo de aplicativo

  **Fornecedor**: Microsoft Corporation

  **Executável**: powershell.exe

  **Aplicativo pai**: [Windows PowerShell](https://feex.it/wiki/l/pt/software/windows-powershell/)

  **Registrar contexto**: Entrada da referência do Feex Wiki

Status da fonte registrada: Revisado pela Feex: Rótulo de fonte registrada: agosto de 2026. Este rótulo não comprova verificação independente.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/pt/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)