L'offuscamento di PowerShell è la pratica di mascherare il testo di uno script in modo che i comandi siano più difficili da leggere per le persone e per gli strumenti di sicurezza. Gli aggressori possono rinominare le variabili, dividere le stringhe, codificare i comandi, inserire sintassi apparentemente innocua o costruire le istruzioni in fase di esecuzione. L'obiettivo non è rendere lo script impossibile da eseguire, ma rendere meno ovvio il suo intento durante la revisione e il rilevamento.
È importante perché PowerShell è uno strumento legittimo di amministrazione di Windows, quindi gli script dannosi possono confondersi con l'attività normale. L'offuscamento aiuta gli aggressori a aggirare gli antivirus basati su firme, a nascondere downloader e stager e a ritardare l'analisi da parte dei responsabili della risposta agli incidenti. Nelle aggressioni reali, viene spesso usato per avviare payload, recuperare codice aggiuntivo o eseguire strumenti di furto delle credenziali dopo che un utente incolla un comando. I difensori cercano flag sospetti di PowerShell, comandi codificati, processi padre insoliti e script che decodificano o assemblano contenuti al volo. La registrazione, il monitoraggio dei blocchi di script e i controlli delle applicazioni aiutano a esporre queste azioni nascoste.