1. [Вики](https://feex.it/wiki/)
2. [Процессы](https://feex.it/wiki/process/)
3. [Процессы приложения](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Процесс приложения: Microsoft Corporation

Поисковые запросы в каталоге: powershell, windows powershell

Windows, Приложение

Windows PowerShell 5.1. pwsh.exe - это PowerShell 7. Они могут присутствовать одновременно. Окном консоли часто выступает conhost.exe.

## Что необходимо знать

Это Windows PowerShell 5.1. Риск представляет скрипт в командной строке, а не имя хост-процесса.

powershell.exe - это Windows PowerShell. pwsh.exe - это более новый PowerShell. conhost.exe отрисовывает окно. Скрытый powershell.exe из макроса Word требует анализа командной строки.

- **Безопасен?**: Проверьте путь к запущенному файлу, его цифровую подпись и издателя. Одно только имя не гарантирует безопасность.

  **То же самое, что и pwsh?**: Нет. pwsh - это PowerShell 7

  **Почему здесь conhost?**: Это окно консоли

Feex сообщает

Я никогда не называю powershell.exe вредоносным ПО только из-за того, что он запущен. Я анализирую командную строку. Проблемой является подписанный хост, запускающий скрипт из Temp.

## Что такое powershell.exe?

powershell.exe - это Windows PowerShell 5.1, поставляемый вместе с Windows. Это не pwsh.exe, который устанавливается как PowerShell 7 от Microsoft.

## Что он делает?

Он выполняет скрипты и командлеты. Политика выполнения может блокировать неподписанные локальные скрипты. Параметр bypass в командной строке - это тревожный сигнал, если вы не вводили его вручную.

## Почему он запущен?

Вы открыли командную строку, запланированная задача или установщик запустили скрипт. Бестелесные вредоносные программы также используют этот хост. Путь вместе с командной строкой определяют ситуацию.

## Проверить запущенный экземпляр

В Windows PowerShell этот запрос только для чтения перечисляет соответствующие идентификаторы процессов, время создания и пути к исполняемым файлам на этом ПК.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Отсутствие результата или недоступный путь неубедительны. Защищенные процессы могут ограничивать доступ, а идентификаторы процессов могут повторно использоваться. Храните личные пути локально.

Используйте [руководство по идентификации файлов](https://feex.it/wiki/l/ru/software/system/verify-executable-path-signature/) для сравнения сигнатур и метаданных продукта. Одно только имя файла не может установить безопасность.

## Безопасен ли он?

Хост легитимен. Вопрос к скрипту

powershell.exe в System32 или SysWOW64 - это хост-процесс Windows. Безопасность определяется родительским процессом и аргументами -Command / -EncodedCommand. Вердикты только по имени файла здесь не работают.

Сравните записанное расположение с фактическим файлом. Знакомая папка сама по себе не устанавливает личность.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 - это pwsh.exe
- 32-разрядный хост находится в каталоге SysWOW64
- Всегда проверяйте аргументы

## Можно ли его завершить?

Останавливает этот сценарий

Завершение powershell.exe прерывает этот сеанс. Если задача перезапускает его, найдите эту задачу. Завершение conhost.exe только закрывает окно.

## Можно ли его удалить?

Нет

Не удаляйте powershell.exe. Ограничьте выполнение скриптов с помощью политик, если это ПК со строгими ограничениями. Обслуживание Windows рассчитывает на наличие этого хоста.

## Должен ли он запускаться вместе с Windows?

Запуск PowerShell из автозагрузки со скрытым окном - признак закрепления в системе. Интерактивный ярлык, созданный вами, опасности не представляет.

## Измерение использования ресурсов

| ЦП и память | Сравните несколько наблюдений для одного и того же PID и рабочей нагрузки. Эта запись не имеет независимо измеренной универсальной базовой линии. |
| ----------- | ------------------------------------------------------------------------------------------------------------------------------------------------- |
| Диск и сеть | Приписывайте активность фактическому процессу и текущей задаче; одно только имя файла не устанавливает ожидаемые назначения или объем передачи.   |

## Сведения о файле

| Имя исполняемого файла    | powershell.exe                                                                   |
| ------------------------- | -------------------------------------------------------------------------------- |
| Записанный путь установки | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                        |
| Издатель                  | Microsoft Corporation                                                            |
| Проверка подписи          | Проверьте фактический файл; эта запись не удостоверяет личность его сертификата. |

## Распространенные проблемы

### EncodedCommand при входе в систему

Скопируйте строку и декодируйте ее в безопасном редакторе. Это и есть полезная нагрузка, а не "PowerShell - это вирус".

### Путаница с cmd

Пакетные файлы - это cmd.exe. Профили PowerShell - это другие файлы автозапуска.

## Устранение неполадок

Проведите диагностику перед внесением деструктивных изменений.

### Проверьте родительский PID

winword, запускающий powershell, - признак макроса Office. explorer, запускающий его после нажатия на ярлык, - это ваши действия.

### Не отключайте PowerShell ради остановки одного скрипта

Удалите задачу или документ. Сам хост - лишь инструмент.

## Технические подробности

Технические подробности

| Имя образа          | powershell.exe          |
| ------------------- | ----------------------- |
| Родственный процесс | pwsh.exe (PowerShell 7) |

## Проверка подлинности работающего файла

Одно только имя файла не может установить безопасность. Проверьте фактический путь, подпись и идентификацию продукта.

## Связанное

Эти объекты связаны с данной статьей. Тип указан у каждой ссылки.

[Windows PowerShell: Приложение](https://feex.it/wiki/l/ru/software/windows-powershell/)[cmd.exe: Процесс приложения](https://feex.it/wiki/l/ru/process/cmd.exe/)[conhost.exe: Процесс Windows](https://feex.it/wiki/l/ru/process/conhost.exe/)[Проверьте путь к исполняемому файлу и цифровую подпись: Руководство](https://feex.it/wiki/l/ru/software/system/verify-executable-path-signature/)[Прочтите Диспетчер задач и сравните активность процессов: Руководство](https://feex.it/wiki/l/ru/software/system/how-to-read-task-manager/)[Процессы приложения: Категория](https://feex.it/wiki/process/application/)

## Источники и проверка

Метка зарегистрированного источника: август 2026. Эта метка не гарантирует независимую проверку. [Как мы проводим исследования](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell и pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Хост-процесс окна консоли
- [Карта процессов Foxhole ](https://foxhole.feex.it/)· Собственные образцы с ПК под управлением Windows. Не является лабораторным бенчмарком.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Описывает, как проверять цифровые подписи файлов. Этот справочный материал не подтверждает подлинность или безопасность конкретного запущенного файла.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Метод запроса локальных процессов только для чтения.
- [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Документирует идентификаторы процессов, пути к исполняемым файлам, даты создания и повторное использование родительского идентификатора.

## Была ли эта статья полезна?

Достаточно ответа "да" или "нет". При желании выберите причину или оставьте короткую заметку.

Краткие факты

Краткая характеристика этой страницы. Характеристики, источники и полная информация остаются в статье.

- **Тип**: Процесс приложения

  **Издатель**: Microsoft Corporation

  **Исполняемый файл**: powershell.exe

  **Родительское приложение**: [Windows PowerShell](https://feex.it/wiki/l/ru/software/windows-powershell/)

  **Запись контекста**: Запись справки Feex Wiki

Зафиксированный статус источника: проверено Feex: Метка зарегистрированного источника: август 2026. Эта метка не гарантирует независимую проверку.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/ru/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)