WinRM Invoke-Command

Invoke-Command -ComputerName <target> -Credential <cred> -ScriptBlock { <payload> }

Executa comandos em um host remoto via WinRM (WS-Management, porta 5985/5986), o mecanismo oficial de administração remota do Windows.

Quando o host remoto tem WinRM habilitado (padrão em servidores modernos) e você tem credenciais com permissões de administrador local. É o método mais 'legítimo' de execução remota: usa a mesma infraestrutura que os administradores usam.

Se o WinRM estiver desabilitado ou o firewall bloquear 5985/5986. Se você precisar de sigilo total, lembre-se que o Invoke-Command deixa 4104 com o scriptblock completo no host remoto: a visibilidade para o blue team é alta.