rundll32.exe

Windows プロセスMicrosoft Corporation

rundll32, run a dll as an app のカタログ検索語

Windowsシステムコンポーネント

DLL をアプリとして実行します。DLL からエクスポートされた関数を読み込みます。何を実行しているかはファイル名ではなく、コマンドラインに示されます。

確認しておくべき要点

この exe はランチャーです。コマンドライン上の DLL が実際のプログラムです。

rundll32.exe は、DLL 内の名前付きエクスポートを呼び出すために存在します。コントロールパネルのアプレットや一部のプリンターで現在も使用されています。マルウェアはその信頼された名前を好んで利用します。必ずコマンドラインを確認してください。

安全性について: 実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。
マルウェアが悪用することはありますか?: 実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。
削除すべきですか？: いいえ。Windows にはこのホストが必要です

Feex の見解

ファイル名だけで「rundll32 は安全か」と判断することはありません。引数を確認します。System32 の rundll32 が Temp 内の DLL を起動している場合、問題はホストではなくその DLL にあります。

rundll32.exe とは?

rundll32.exe は、DLL を読み込んでエクスポートを呼び出す、ドキュメントに記載された Windows ユーティリティです。構文は rundll32 DLL,EntryPoint です。

どのような役割がありますか？

これ自体には固有の役割はほとんどありません。ディスプレイ設定、古いプリンター UI、および一部の Microsoft アプレットは現在もこの方法で起動します。空白のコマンドラインは異常であり、調査する価値があります。

なぜ実行されているのですか？

何かが exe ではなく DLL のエントリーポイントを呼び出しました。スケジュールされたタスクやショートカットの残骸が一般的です。32 ビット DLL のために SysWOW64 から実行されているコピーも、正規の Windows によるものです。

実行中のインスタンスを検査する

Windows PowerShell では、この読み取り専用クエリは、この PC 上の一致するプロセス ID、作成時刻、および実行可能パスを一覧表示します。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'rundll32.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

結果がない、またはアクセスできないパスは、決定的なものではありません。保護されたプロセスはアクセスを制限する可能性があり、プロセス ID は再利用される可能性があります。個人用パスはローカルに保持してください。

使用するファイル識別ガイド署名と製品メタデータを比較します。ファイル名だけでは安全性を確立できません。

安全ですか？

DLL に依存します

System32 内のホストは正当です。安全性は DLL のパスと発行元によって決まります。ファイル名だけで「rundll32 はウイルス」とするページは、唯一重要な部分を見落としています。

記録された場所と実際のファイルを比較してください。見慣れたフォルダだけでは識別情報は確立されません。

C:\Windows\System32\rundll32.exe

想定されるホストのパス: System32 または SysWOW64
毎回コマンドラインを確認してください
ユーザーフォルダー内の rundll32.exe は Windows のホストではありません

終了してもよいですか？

その DLL の呼び出しを停止します

プロセスを終了すると、そのアプレットまたはペイロードが閉じます。コマンドラインが一時フォルダーの DLL を指していた場合は、永続化の仕組みを調査すべきタイミングです。

削除してもよいですか？

Windows のホストについてはいいえ

System32\rundll32.exe は削除しないでください。不正な DLL を呼び出しているショートカットやタスクを削除してください。

Windows と一緒に起動すべきですか？

rundll32 を呼び出すスタートアップのショートカットには、完全な DLL パスが表示されている必要があります。名前が空であるか、数字のみの場合は危険信号です。

リソース使用量を測定する

普遍的な基準を想定するのではなく、現在のプロセスを測定する
CPU とメモリ	同じ PID とワークロードに対する複数の観測値を比較してください。このエントリには、独立して測定された普遍的な基準はありません。
ディスクとネットワーク	実際のプロセスと現在のタスクにアクティビティを帰属させます。ファイル名だけでは、期待される宛先または転送量を確立できません。

ファイル情報

rundll32.exe ファイル情報
実行可能ファイル名	rundll32.exe
記録されたインストールパス	C:\Windows\System32\rundll32.exe
発行元	Microsoft Corporation
署名チェック	実際のファイルを検査してください。このエントリは、証明書の識別情報を認証しません。

よくある問題

ログオンのたびに rundll32 が実行される

スタートアップフォルダーとタスクスケジューラを開いてください。自動実行されているのはホストではなく、その引数です。

「ウイルスを止める」ために rundll32 を削除してしまう

その結果、Windows は複数のアプレットを起動できなくなります。感染源は DLL でした。

トラブルシューティング

破壊的な変更を行う前に診断を行ってください。

完全なコマンドラインをコピーする

タスクマネージャーの詳細または Process Explorer を使用します。rundll32 という単語ではなく、その DLL パスを検索してください。

ホストパスを確認する

System32 または SysWOW64 のみです。それ以外の rundll32.exe は別のプログラムです。

技術的な詳細

rundll32.exe の技術的詳細
イメージ名	rundll32.exe
役割	DLL エントリポイントホスト

実行中ファイルの同一性を確認する

ファイル名だけでは安全性を確立できません。実際のパス、署名、および製品の識別情報を確認してください。

出典と検証

記録された出典ラベル: 2026年8月。このラベルは独立した検証を証明するものではありません。調査方法.

Microsoft Learn: rundll32 ・公式ホストの使用法
Microsoft サポート: Windows ・公開サポートにおける名称
Foxholeプロセスマップ · Windows PC上のファーストパーティサンプル。ラボのベンチマークではありません。
Microsoft Sysinternals: Sigcheck · ファイル署名の検査方法についての説明。このリファレンスは、実行中の特定ファイルの同一性や安全性を証明するものではありません。
Microsoft: Get-CimInstance · 読み取り専用ローカルプロセスクエリ方法。
Microsoft: Win32_Process プロパティ · プロセス ID、実行可能パス、作成日、および親 ID の再利用を文書化します。

この記事は役に立ちましたか？

「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。