powershell.exe

Процес програмиMicrosoft Corporation

Терміни пошуку в каталозі: powershell, windows powershell

WindowsПрограма

Windows PowerShell 5.1. pwsh.exe - це PowerShell 7. Обидва можуть бути присутніми в системі. Вікном консолі часто виступає conhost.exe.

Що потрібно знати

Це Windows PowerShell 5.1. Ризик становить сценарій у командному рядку, а не ім'я хосту.

powershell.exe - це Windows PowerShell. pwsh.exe - новіша версія PowerShell. conhost.exe відмальовує вікно. Прихований процес powershell.exe, запущений із макросу Word, оцінюється за аргументами командного рядка.

Безпечний?: Перевірте шлях, підпис і видавця запущеного файлу. Лише назва не може підтвердити безпеку.
Це те саме, що й pwsh?: Ні. pwsh - це PowerShell 7
Чому поруч присутній conhost?: Це вікно консолі

Feex повідомляє

Я ніколи не називаю powershell.exe шкідливим ПЗ лише тому, що він працює. Я аналізую командний рядок. Проблемою є підписаний хост, який запускає сценарій із папки Temp.

Що таке powershell.exe?

powershell.exe - це Windows PowerShell 5.1, що входить до складу Windows. Це не pwsh.exe, який установлюється як окремий PowerShell 7 від Microsoft.

Що він робить?

Він виконує сценарії та командлети. Політика виконання може блокувати непідписані локальні сценарії. Прапорець bypass у командному рядку - тривожний сигнал, якщо ви не вводили його власноруч.

Чому він запущений?

Ви відкрили термінал, запущено завдання планувальника або інсталятор викликав сценарій. Безфайлове шкідливе ПЗ також використовує цей хост. Ситуацію визначають шлях разом із командним рядком.

Перевірити запущений екземпляр

У Windows PowerShell цей запит лише для читання перелічує відповідні ідентифікатори процесів, час створення та шляхи до виконуваних файлів на цьому ПК.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Відсутність результату або недоступний шлях є непереконливими. Захищені процеси можуть обмежувати доступ, а ідентифікатори процесів можуть повторно використовуватися. Зберігайте особисті шляхи локально.

Використовуйте посібник з ідентифікації файлів для порівняння підписів та метаданих продукту. Саме по собі ім'я файлу не може встановити безпеку.

Чи він безпечний?

Хост є легітимним. Питання в сценарії

powershell.exe у System32 або SysWOW64 - це системний хост Windows. Безпека визначається батьківським процесом і рядком -Command / -EncodedCommand. Вердикти лише за ім'ям файлу тут не працюють.

Порівняйте записане розташування з фактичним файлом. Знайома папка сама по собі не встановлює ідентичність.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 - це pwsh.exe
32-розрядний хост розташований у SysWOW64
Завжди аналізуйте аргументи

Чи можна його завершити?

Зупиняє цей скрипт

Завершення powershell.exe зупиняє цей сеанс. Якщо завдання перезапускає його, знайдіть це завдання. Завершення conhost.exe призводить лише до закриття вікна.

Чи можна його видалити?

Ні

Не видаляйте powershell.exe. Обмежте виконання сценаріїв за допомогою політик, якщо це захищений ПК. Цей хост необхідний для обслуговування Windows.

Чи повинен він запускатися разом із Windows?

PowerShell в автозавантаженні з прихованим вікном - це привід перевірити закріплення в системі. Створений вами інтерактивний ярлик цілком безпечний.

Виміряйте використання ресурсів

Виміряйте поточний процес, а не припускайте універсальну базову лінію
ЦП та пам'ять	Порівняйте кілька спостережень для одного й того ж PID та навантаження. Цей запис не має незалежно виміряної універсальної базової лінії.
Диск та мережа	Припишіть активність фактичному процесу та поточному завданню; саме по собі ім'я файлу не встановлює очікувані призначення або обсяг передачі.

Інформація про файл

Інформація про файл powershell.exe
Назва виконуваного файлу	powershell.exe
Записаний шлях встановлення	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Видавець	Microsoft Corporation
Перевірка підпису	Перевірте фактичний файл; цей запис не сертифікує ідентичність його сертифіката.

Поширені проблеми

EncodedCommand під час входу в систему

Скопіюйте рядок і декодуйте його в безпечному редакторі. Небезпеку становить корисне навантаження, а не сам факт запуску «PowerShell як вірусу».

Плутанина з cmd

Пакетні файли - це cmd.exe. Профілі PowerShell - це зовсім інший файл запуску.

Усунення несправностей

Проведіть діагностику, перш ніж робити будь-які деструктивні зміни.

Перевірте батьківський PID

winword, що викликає powershell, свідчить про макрос Office. Якщо процес запущений з explorer після вашого натискання на ярлик, це дія користувача.

Не вимикайте PowerShell, щоб зупинити один сценарій

Видаліть завдання або документ. Хост є лише інструментом.

Технічні деталі

Технічні відомості про powershell.exe
Назва образу	powershell.exe
Споріднений процес	pwsh.exe (PowerShell 7)

Перевірте автентичність запущеного файлу

Саме по собі ім'я файлу не може встановити безпеку. Перевірте фактичний шлях, підпис та ідентичність продукту.

Джерела та верифікація

Зафіксована позначка джерела: серпень 2026. Ця позначка не встановлює незалежної перевірки. Як ми проводимо дослідження.

Microsoft Learn: PowerShell · Windows PowerShell і pwsh
Microsoft Learn: conhost · Хост вікна консолі
Карта процесів Foxhole · Зразки від виробника на комп'ютерах з Windows. Не лабораторний бенчмарк.
Microsoft Sysinternals: Sigcheck · Пояснює, як перевіряти підписи файлів. Це посилання не встановлює автентичність або безпеку конкретного запущеного файлу.
Microsoft: Get-CimInstance · Метод запиту локальних процесів лише для читання.
Microsoft: Win32_Process properties · Документує ідентифікатори процесів, шляхи до виконуваних файлів, дати створення та повторне використання ідентифікатора батьківського процесу.

Чи була ця стаття корисною?

Достатньо відповісти "так" або "ні". За бажанням виберіть причину або додайте коротку примітку.