Un PowerShell RAT è un malware, o un loader per malware, che usa Windows PowerShell per avviare o predisporre funzioni di controllo remoto. Può scaricare un payload, decodificare comandi, eseguire script in memoria o stabilire un canale di comando e controllo senza rilasciare prima un eseguibile evidente. Gli aggressori apprezzano PowerShell perché è integrato in Windows ed è spesso consentito negli ambienti aziendali per l'amministrazione.
Questo è importante perché aiuta le minacce a confondersi con le normali attività IT. Un PowerShell RAT può supportare catene di intrusione successive al phishing, in cui un utente viene indotto a eseguire uno script oppure un collegamento malevolo avvia automaticamente PowerShell. I difensori cercano l'esecuzione sospetta di script, comandi codificati, processi figlio insoliti generati da PowerShell e connessioni di rete legate all'attività di scripting. Limitare l'uso di PowerShell, abilitare il logging e applicare il controllo delle applicazioni può rendere questi attacchi più facili da rilevare e più difficili da nascondere.