powershell.exe

Процесс приложенияMicrosoft Corporation

Поисковые запросы в каталоге: powershell, windows powershell

WindowsПриложение

Windows PowerShell 5.1. pwsh.exe - это PowerShell 7. Они могут присутствовать одновременно. Окном консоли часто выступает conhost.exe.

Что необходимо знать

Это Windows PowerShell 5.1. Риск представляет скрипт в командной строке, а не имя хост-процесса.

powershell.exe - это Windows PowerShell. pwsh.exe - это более новый PowerShell. conhost.exe отрисовывает окно. Скрытый powershell.exe из макроса Word требует анализа командной строки.

Безопасен?: Проверьте путь к запущенному файлу, его цифровую подпись и издателя. Одно только имя не гарантирует безопасность.
То же самое, что и pwsh?: Нет. pwsh - это PowerShell 7
Почему здесь conhost?: Это окно консоли

Feex сообщает

Я никогда не называю powershell.exe вредоносным ПО только из-за того, что он запущен. Я анализирую командную строку. Проблемой является подписанный хост, запускающий скрипт из Temp.

Что такое powershell.exe?

powershell.exe - это Windows PowerShell 5.1, поставляемый вместе с Windows. Это не pwsh.exe, который устанавливается как PowerShell 7 от Microsoft.

Что он делает?

Он выполняет скрипты и командлеты. Политика выполнения может блокировать неподписанные локальные скрипты. Параметр bypass в командной строке - это тревожный сигнал, если вы не вводили его вручную.

Почему он запущен?

Вы открыли командную строку, запланированная задача или установщик запустили скрипт. Бестелесные вредоносные программы также используют этот хост. Путь вместе с командной строкой определяют ситуацию.

Проверить запущенный экземпляр

В Windows PowerShell этот запрос только для чтения перечисляет соответствующие идентификаторы процессов, время создания и пути к исполняемым файлам на этом ПК.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Отсутствие результата или недоступный путь неубедительны. Защищенные процессы могут ограничивать доступ, а идентификаторы процессов могут повторно использоваться. Храните личные пути локально.

Используйте руководство по идентификации файлов для сравнения сигнатур и метаданных продукта. Одно только имя файла не может установить безопасность.

Безопасен ли он?

Хост легитимен. Вопрос к скрипту

powershell.exe в System32 или SysWOW64 - это хост-процесс Windows. Безопасность определяется родительским процессом и аргументами -Command / -EncodedCommand. Вердикты только по имени файла здесь не работают.

Сравните записанное расположение с фактическим файлом. Знакомая папка сама по себе не устанавливает личность.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 - это pwsh.exe
32-разрядный хост находится в каталоге SysWOW64
Всегда проверяйте аргументы

Можно ли его завершить?

Останавливает этот сценарий

Завершение powershell.exe прерывает этот сеанс. Если задача перезапускает его, найдите эту задачу. Завершение conhost.exe только закрывает окно.

Можно ли его удалить?

Нет

Не удаляйте powershell.exe. Ограничьте выполнение скриптов с помощью политик, если это ПК со строгими ограничениями. Обслуживание Windows рассчитывает на наличие этого хоста.

Должен ли он запускаться вместе с Windows?

Запуск PowerShell из автозагрузки со скрытым окном - признак закрепления в системе. Интерактивный ярлык, созданный вами, опасности не представляет.

Измерение использования ресурсов

Измерьте текущий процесс, а не предполагайте универсальную базовую линию
ЦП и память	Сравните несколько наблюдений для одного и того же PID и рабочей нагрузки. Эта запись не имеет независимо измеренной универсальной базовой линии.
Диск и сеть	Приписывайте активность фактическому процессу и текущей задаче; одно только имя файла не устанавливает ожидаемые назначения или объем передачи.

Сведения о файле

Сведения о файле powershell.exe
Имя исполняемого файла	powershell.exe
Записанный путь установки	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Издатель	Microsoft Corporation
Проверка подписи	Проверьте фактический файл; эта запись не удостоверяет личность его сертификата.

Распространенные проблемы

EncodedCommand при входе в систему

Скопируйте строку и декодируйте ее в безопасном редакторе. Это и есть полезная нагрузка, а не "PowerShell - это вирус".

Путаница с cmd

Пакетные файлы - это cmd.exe. Профили PowerShell - это другие файлы автозапуска.

Устранение неполадок

Проведите диагностику перед внесением деструктивных изменений.

Проверьте родительский PID

winword, запускающий powershell, - признак макроса Office. explorer, запускающий его после нажатия на ярлык, - это ваши действия.

Не отключайте PowerShell ради остановки одного скрипта

Удалите задачу или документ. Сам хост - лишь инструмент.

Технические подробности

Технические сведения о powershell.exe
Имя образа	powershell.exe
Родственный процесс	pwsh.exe (PowerShell 7)

Проверка подлинности работающего файла

Одно только имя файла не может установить безопасность. Проверьте фактический путь, подпись и идентификацию продукта.

Источники и проверка

Метка зарегистрированного источника: август 2026. Эта метка не гарантирует независимую проверку. Как мы проводим исследования.

Microsoft Learn: PowerShell · Windows PowerShell и pwsh
Microsoft Learn: conhost · Хост-процесс окна консоли
Карта процессов Foxhole · Собственные образцы с ПК под управлением Windows. Не является лабораторным бенчмарком.
Microsoft Sysinternals: Sigcheck · Описывает, как проверять цифровые подписи файлов. Этот справочный материал не подтверждает подлинность или безопасность конкретного запущенного файла.
Microsoft: Get-CimInstance · Метод запроса локальных процессов только для чтения.
Microsoft: Win32_Process properties · Документирует идентификаторы процессов, пути к исполняемым файлам, даты создания и повторное использование родительского идентификатора.

Была ли эта статья полезна?

Достаточно ответа "да" или "нет". При желании выберите причину или оставьте короткую заметку.