1. [Wiki](https://feex.it/wiki/)
2. [Процеси](https://feex.it/wiki/process/)
3. [Процеси додатків](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Процес програми: Microsoft Corporation

Терміни пошуку в каталозі: powershell, windows powershell

Windows, Програма

Windows PowerShell 5.1. pwsh.exe - це PowerShell 7. Обидва можуть бути присутніми в системі. Вікном консолі часто виступає conhost.exe.

## Що потрібно знати

Це Windows PowerShell 5.1. Ризик становить сценарій у командному рядку, а не ім'я хосту.

powershell.exe - це Windows PowerShell. pwsh.exe - новіша версія PowerShell. conhost.exe відмальовує вікно. Прихований процес powershell.exe, запущений із макросу Word, оцінюється за аргументами командного рядка.

- **Безпечний?**: Перевірте шлях, підпис і видавця запущеного файлу. Лише назва не може підтвердити безпеку.

  **Це те саме, що й pwsh?**: Ні. pwsh - це PowerShell 7

  **Чому поруч присутній conhost?**: Це вікно консолі

Feex повідомляє

Я ніколи не називаю powershell.exe шкідливим ПЗ лише тому, що він працює. Я аналізую командний рядок. Проблемою є підписаний хост, який запускає сценарій із папки Temp.

## Що таке powershell.exe?

powershell.exe - це Windows PowerShell 5.1, що входить до складу Windows. Це не pwsh.exe, який установлюється як окремий PowerShell 7 від Microsoft.

## Що він робить?

Він виконує сценарії та командлети. Політика виконання може блокувати непідписані локальні сценарії. Прапорець bypass у командному рядку - тривожний сигнал, якщо ви не вводили його власноруч.

## Чому він запущений?

Ви відкрили термінал, запущено завдання планувальника або інсталятор викликав сценарій. Безфайлове шкідливе ПЗ також використовує цей хост. Ситуацію визначають шлях разом із командним рядком.

## Перевірити запущений екземпляр

У Windows PowerShell цей запит лише для читання перелічує відповідні ідентифікатори процесів, час створення та шляхи до виконуваних файлів на цьому ПК.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Відсутність результату або недоступний шлях є непереконливими. Захищені процеси можуть обмежувати доступ, а ідентифікатори процесів можуть повторно використовуватися. Зберігайте особисті шляхи локально.

Використовуйте [посібник з ідентифікації файлів](https://feex.it/wiki/l/uk/software/system/verify-executable-path-signature/) для порівняння підписів та метаданих продукту. Саме по собі ім'я файлу не може встановити безпеку.

## Чи він безпечний?

Хост є легітимним. Питання в сценарії

powershell.exe у System32 або SysWOW64 - це системний хост Windows. Безпека визначається батьківським процесом і рядком -Command / -EncodedCommand. Вердикти лише за ім'ям файлу тут не працюють.

Порівняйте записане розташування з фактичним файлом. Знайома папка сама по собі не встановлює ідентичність.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 - це pwsh.exe
- 32-розрядний хост розташований у SysWOW64
- Завжди аналізуйте аргументи

## Чи можна його завершити?

Зупиняє цей скрипт

Завершення powershell.exe зупиняє цей сеанс. Якщо завдання перезапускає його, знайдіть це завдання. Завершення conhost.exe призводить лише до закриття вікна.

## Чи можна його видалити?

Ні

Не видаляйте powershell.exe. Обмежте виконання сценаріїв за допомогою політик, якщо це захищений ПК. Цей хост необхідний для обслуговування Windows.

## Чи повинен він запускатися разом із Windows?

PowerShell в автозавантаженні з прихованим вікном - це привід перевірити закріплення в системі. Створений вами інтерактивний ярлик цілком безпечний.

## Виміряйте використання ресурсів

| ЦП та пам'ять  | Порівняйте кілька спостережень для одного й того ж PID та навантаження. Цей запис не має незалежно виміряної універсальної базової лінії.      |
| -------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- |
| Диск та мережа | Припишіть активність фактичному процесу та поточному завданню; саме по собі ім'я файлу не встановлює очікувані призначення або обсяг передачі. |

## Інформація про файл

| Назва виконуваного файлу    | powershell.exe                                                                   |
| --------------------------- | -------------------------------------------------------------------------------- |
| Записаний шлях встановлення | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                        |
| Видавець                    | Microsoft Corporation                                                            |
| Перевірка підпису           | Перевірте фактичний файл; цей запис не сертифікує ідентичність його сертифіката. |

## Поширені проблеми

### EncodedCommand під час входу в систему

Скопіюйте рядок і декодуйте його в безпечному редакторі. Небезпеку становить корисне навантаження, а не сам факт запуску «PowerShell як вірусу».

### Плутанина з cmd

Пакетні файли - це cmd.exe. Профілі PowerShell - це зовсім інший файл запуску.

## Усунення несправностей

Проведіть діагностику, перш ніж робити будь-які деструктивні зміни.

### Перевірте батьківський PID

winword, що викликає powershell, свідчить про макрос Office. Якщо процес запущений з explorer після вашого натискання на ярлик, це дія користувача.

### Не вимикайте PowerShell, щоб зупинити один сценарій

Видаліть завдання або документ. Хост є лише інструментом.

## Технічні деталі

Технічні деталі

| Назва образу       | powershell.exe          |
| ------------------ | ----------------------- |
| Споріднений процес | pwsh.exe (PowerShell 7) |

## Перевірте автентичність запущеного файлу

Саме по собі ім'я файлу не може встановити безпеку. Перевірте фактичний шлях, підпис та ідентичність продукту.

## Пов'язане

Ці сутності пов'язані з цією статтею. Тип вказується для кожного посилання.

[Windows PowerShell: Програма](https://feex.it/wiki/l/uk/software/windows-powershell/)[cmd.exe: Процес програми](https://feex.it/wiki/l/uk/process/cmd.exe/)[conhost.exe: Процес Windows](https://feex.it/wiki/l/uk/process/conhost.exe/)[Перевірте шлях до виконуваного файлу та цифровий підпис: Посібник](https://feex.it/wiki/l/uk/software/system/verify-executable-path-signature/)[Читайте Диспетчер завдань і порівнюйте активність процесів: Посібник](https://feex.it/wiki/l/uk/software/system/how-to-read-task-manager/)[Процеси додатків: Категорія](https://feex.it/wiki/process/application/)

## Джерела та верифікація

Зафіксована позначка джерела: серпень 2026. Ця позначка не встановлює незалежної перевірки. [Як ми проводимо дослідження](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell і pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Хост вікна консолі
- [Карта процесів Foxhole ](https://foxhole.feex.it/)· Зразки від виробника на комп'ютерах з Windows. Не лабораторний бенчмарк.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Пояснює, як перевіряти підписи файлів. Це посилання не встановлює автентичність або безпеку конкретного запущеного файлу.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Метод запиту локальних процесів лише для читання.
- [Microsoft: Win32_Process properties ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Документує ідентифікатори процесів, шляхи до виконуваних файлів, дати створення та повторне використання ідентифікатора батьківського процесу.

## Чи була ця стаття корисною?

Достатньо відповісти "так" або "ні". За бажанням виберіть причину або додайте коротку примітку.

Короткі факти

Стислі відомості про цю сторінку. Характеристики, джерела та повна інформація залишаються в статті.

- **Тип**: Процес програми

  **Видавець**: Microsoft Corporation

  **Виконуваний файл**: powershell.exe

  **Батьківська програма**: [Windows PowerShell](https://feex.it/wiki/l/uk/software/windows-powershell/)

  **Записати контекст**: Довідкова стаття Feex Wiki

Зафіксований стан джерела: Перевірено Feex: Зафіксована позначка джерела: серпень 2026. Ця позначка не встановлює незалежної перевірки.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/uk/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)