Uno stager PowerShell è uno script o componente che prepara o distribuisce attività successive. Può recuperare o avviare un altro payload, passare comandi a un altro processo o predisporre una fase successiva. Il termine descrive un ruolo nella catena di attacco, non una tecnica specifica né la prova che uno script sia stato eseguito con successo.
Gli stager sono importanti perché possono collegare un metodo di distribuzione iniziale alle azioni successive, mentre script modificabili o di breve durata possono eludere le difese basate solo sugli hash dei file. I difensori li analizzano usando i log dei blocchi di script di PowerShell, la scansione AMSI, ove disponibile, e il contesto, come le righe di comando, i processi padre e l'attività di rete. Uno script individuato costituisce una pista investigativa; per determinare cosa abbia fatto sono necessarie prove dell'esecuzione e la telemetria circostante.