WinRM Invoke-Command

Invoke-Command -ComputerName <target> -Credential <cred> -ScriptBlock { <payload> }

Ejecuta comandos en un host remoto mediante WinRM (WS-Management, puerto 5985/5986), el mecanismo oficial de administración remota de Windows.

Cuando el host remoto tiene WinRM habilitado (por defecto en servidores modernos) y tienes credenciales con permisos de administrador local. Es el método más 'legítimo' de ejecución remota: usa la misma infraestructura que usan los administradores.

Si WinRM está deshabilitado o el firewall bloquea 5985/5986. Si necesitas sigilo total, recuerda que Invoke-Command deja 4104 con el scriptblock completo en el host remoto: la visibilidad para el blue team es alta.