userinit.exe
Termes de recherche du catalogue userinit, userinit logon application
Application d'ouverture de session Userinit. Une fois connecté, winlogon démarre ce fichier pour qu'il puisse lancer l'interpréteur de commandes (shell), généralement explorer.exe.
Ce que vous devez savoir
Il lance Explorer après la connexion, puis doit disparaître. Un userinit qui ne se ferme jamais nécessite une vérification de son chemin d'accès.
userinit.exe est l'assistant de connexion documenté. winlogon le lance. Il exécute la valeur Userinit, habituellement explorer.exe, puis se termine. Les logiciels malveillants de persistance ciblent fréquemment ce même nom de clé Run.
- Sûr ?
- Vérifiez l'emplacement, la signature et l'éditeur du fichier en cours d'exécution. Le nom seul ne permet pas d'établir la sécurité.
- Doit-il continuer à s'exécuter ?
- Il s'arrête généralement après le démarrage de l'interpréteur de commandes
- Nom utilisé par des logiciels malveillants ?
- Vérifiez l'emplacement, la signature et l'éditeur du fichier en cours d'exécution. Le nom seul ne permet pas d'établir la sécurité.
Qu'est-ce que userinit.exe ?
userinit.exe est l'application d'ouverture de session Userinit. Il représente l'étape officielle suivante une fois que winlogon vous a authentifié.
Que fait-il ?
Il restaure les connexions réseau et lance l'interpréteur de commandes indiqué dans la valeur de registre Userinit. Sur un PC sain, ce shell est explorer.exe, et userinit se ferme ensuite.
Pourquoi s'exécute-t-il ?
Vous venez de vous connecter. Une copie qui s'exécute encore une heure plus tard est soit un interpréteur de commandes personnalisé de remplacement, soit un faux exécutable masqué.
Inspecter l'instance en cours d'exécution
Dans Windows PowerShell, cette requête en lecture seule liste les ID de processus correspondants, les heures de création et les chemins d'accès exécutables sur ce PC.
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
Aucun résultat ou un chemin inaccessible est non concluant. Les processus protégés peuvent restreindre l'accès, et les ID de processus peuvent être réutilisés. Gardez les chemins personnels locaux.
Utilisez le guide d'identification de fichier pour comparer les signatures et les métadonnées du produit. Un nom de fichier seul ne peut pas établir la sécurité.
Est-il sûr ?
Vérifier le chemin et sa durée d'exécution
Un userinit dans System32 qui se ferme provient de Windows. Un second userinit dans un dossier utilisateur, ou une valeur de registre Userinit pointant vers autre chose, est la méthode de persistance classique.
Comparez l'emplacement enregistré avec le fichier réel. Un dossier familier seul n'établit pas l'identité.
C:\Windows\System32\userinit.exe
- Démarré par winlogon
- Doit lancer explorer.exe et s'arrêter
- L'emplacement d'abord, puis l'éditeur
Puis-je l'arrêter ?
Uniquement un faux fichier résiduel
Ne mettez pas fin à la copie de System32 pendant la connexion. Vous risquez d'interrompre le lancement du bureau. Une copie persistante venant du mauvais dossier relève d'une procédure contre les malwares une fois le chemin confirmé.
Puis-je le supprimer ?
Uniquement une copie frauduleuse
Ne supprimez pas System32\userinit.exe. Réparez la valeur de registre Userinit si le shell ne démarre pas. Il s'agit d'une réparation avancée.
Doit-il démarrer avec Windows ?
La connexion le lance une seule fois. Il ne doit pas constituer une ligne autonome dans les Applications de démarrage.
Mesurer l'utilisation des ressources
| CPU et mémoire | Comparez plusieurs observations pour le même PID et la même charge de travail. Cette entrée n'a pas de base universelle mesurée indépendamment. |
|---|---|
| Disque et réseau | Attribuez l'activité au processus réel et à la tâche en cours ; un nom de fichier seul n'établit pas les destinations attendues ni le volume de transfert. |
Informations sur le fichier
| Nom de l'exécutable | userinit.exe |
|---|---|
| Chemin d'installation enregistré | C:\Windows\System32\userinit.exe |
| Éditeur | Microsoft Corporation |
| Vérification de la signature | Inspectez le fichier réel ; cette entrée ne certifie pas l'identité de son certificat. |
Problèmes courants
Le bureau n'apparaît jamais
Si Userinit a été réécrit pour ignorer explorer.exe, vous obtiendrez un shell vide. Cela nécessite une inspection du registre, et non la recherche d'un fond d'écran manquant.
Deux lignes userinit.exe
Une instance dans System32 pendant la connexion est normale. Une autre provenant de Temp qui persiste ne l'est pas.
Dépannage
Diagnostiquez avant d'effectuer toute modification destructive.
Ouvrir l'emplacement du fichier immédiatement
System32 est le seul emplacement attendu pour le véritable assistant.
Ne « réparez » pas Userinit à l'aide d'un fichier .reg trouvé au hasard
Ces fichiers constituent un vecteur de charge utile privilégié.
Détails techniques
Détails techniques
| Nom de l'image | userinit.exe |
|---|---|
| Rôle | Lanceur du shell d'ouverture de session |
Vérifier l'identité d'un fichier en cours d'exécution
Un nom de fichier seul ne peut pas établir la sécurité. Vérifiez le chemin réel, la signature et l'identité du produit.
Sources et vérification
Mention de la source enregistrée : août 2026. Cette mention n'établit pas de vérification indépendante. Notre méthodologie de recherche.
- Microsoft Learn : Winlogon · userinit après authentification
- Microsoft Learn : Run et RunOnce · Persistance liée à Userinit
- Carte des processus Foxhole · Échantillons internes sur des PC Windows. Ceci n'est pas un benchmark de laboratoire.
- Microsoft Sysinternals: Sigcheck · Explique comment inspecter les signatures de fichiers. Cette référence n'établit pas l'identité ou la sécurité d'un fichier particulier en cours d'exécution.
- Microsoft : Get-CimInstance · Méthode de requête de processus locale en lecture seule.
- Microsoft : propriétés de Win32_Process · Documente les ID de processus, les chemins d'accès exécutables, les dates de création et la réutilisation de l'ID parent.
Cet article vous a-t-il été utile ?
Un simple oui ou non suffit. Choisissez une raison si vous le souhaitez, ou ajoutez une courte remarque.
Merci. Cela nous aide à améliorer cette page.