Windows Script Host è un componente integrato di Windows che esegue direttamente nel sistema operativo file di script come VBScript e JScript. Offre un modo legittimo per automatizzare le attività, ma la stessa comodità lo rende interessante per gli attaccanti perché l'esecuzione di script può sembrare normale amministrazione anziché un programma malware autonomo.
Nelle intrusioni reali, WSH viene spesso usato come prima fase di una catena: uno script avvia strumenti aggiuntivi, scarica payload o avvia PowerShell per ulteriore automazione. Gli difensori prestano attenzione a WSH perché può essere eseguito da percorsi scrivibili dall'utente e confondersi con l'attività di routine, rendendo più difficile il rilevamento. Segnali utili includono WScript.exe o CScript.exe avviati da cartelle insolite, script che generano shell e accessi ripetuti a directory di documenti o ad altre origini di dati sensibili.