userinit.exe
カタログ検索語 userinit, userinit logon application
Userinit Logon Application。サインイン後、winlogonがこのファイルを起動してシェル（通常はexplorer.exe）を立ち上げられるようにします。
確認しておくべき要点
これはログオン後にExplorerを起動し、その後終了するはずのものです。終了しないuserinitが存在する場合は、パスの確認が必要です。
userinit.exeは仕様上文書化されているログオンヘルパーです。winlogonがこれを起動します。Userinit値（通常はexplorer.exe）を起動した後に終了します。永続化を狙うマルウェアは、この同一のRunキー名を好んで利用します。
- 安全性について
- 実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。
- 常駐し続けるべきですか?
- 通常はシェル起動後に終了します
- マルウェアの名前ですか？
- 実行中のファイルのパス、署名、発行元を確認してください。名前だけでは安全性を確認できません。
userinit.exeとは?
userinit.exeはUserinit Logon Applicationです。winlogonによる認証後に公式に引き継がれる次のステップです。
どのような役割がありますか？
ネットワーク接続を復元し、Userinitレジストリ値にリストされているシェルを起動します。正常なPCではそのシェルはexplorer.exeであり、その後userinitは終了します。
なぜ実行されているのですか？
サインインした直後です。1時間後も動作し続けているインスタンスは、カスタムシェルの置き換えか、偽装されたパスのいずれかです。
実行中のインスタンスを検査する
Windows PowerShell では、この読み取り専用クエリは、この PC 上の一致するプロセス ID、作成時刻、および実行可能パスを一覧表示します。
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
結果がない、またはアクセスできないパスは、決定的なものではありません。保護されたプロセスはアクセスを制限する可能性があり、プロセス ID は再利用される可能性があります。個人用パスはローカルに保持してください。
使用する ファイル識別ガイド 署名と製品メタデータを比較します。ファイル名だけでは安全性を確立できません。
安全ですか？
パスと生存期間を確認する
正常に終了するSystem32のuserinitはWindowsのものです。ユーザーフォルダー内にある2つ目のuserinitや、別の場所を指しているUserinitレジストリ値は、古典的な永続化の手口です。
記録された場所と実際のファイルを比較してください。見慣れたフォルダだけでは識別情報は確立されません。
C:\Windows\System32\userinit.exe
- winlogonによって起動
- explorer.exeを起動して終了する想定
- まずパス、次に発行元を確認
終了してもよいですか？
残存した偽装ファイルのみ
ログオン処理中にSystem32のインスタンスを終了しないでください。デスクトップの起動が中断される恐れがあります。誤ったフォルダーからの長時間常駐するインスタンスは、パスの確認後にマルウェア対策の手順を進めてください。
削除してもよいですか？
偽のコピーのみ
System32\userinit.exeを削除しないでください。シェルが起動しない場合はUserinitレジストリ値を修復します。これは高度な修復作業です。
Windows と一緒に起動すべきですか？
ログオン時に一度起動されます。これ自体が独自の [スタートアップ] アプリの項目になることはありません。
リソース使用量を測定する
| CPU とメモリ | 同じ PID とワークロードに対する複数の観測値を比較してください。このエントリには、独立して測定された普遍的な基準はありません。 |
|---|---|
| ディスクとネットワーク | 実際のプロセスと現在のタスクにアクティビティを帰属させます。ファイル名だけでは、期待される宛先または転送量を確立できません。 |
ファイル情報
| 実行可能ファイル名 | userinit.exe |
|---|---|
| 記録されたインストール パス | C:\Windows\System32\userinit.exe |
| 発行元 | Microsoft Corporation |
| 署名チェック | 実際のファイルを検査してください。このエントリは、証明書の識別情報を認証しません。 |
よくある問題
デスクトップが一切表示されない
Userinitが書き換えられてexplorer.exeをスキップするようになっている場合、ブランクのシェルが表示されます。これは壁紙の欠落ではなく、レジストリの調査対象です。
2つのuserinit.exe行が存在する
ログオン処理中にSystem32にあるものが1つ存在するのは正常です。Tempから常駐し続けるものは異常です。
トラブルシューティング
破壊的な変更を行う前に診断を行ってください。
直ちにファイルの場所を開く
本物のヘルパーにとって想定されるパスはSystem32のみです。
出所不明の.regファイルでUserinitを「修正」しないこと
それらのファイルは格好のペイロードの手段です。
技術的な詳細
技術的な詳細
| イメージ名 | userinit.exe |
|---|---|
| 役割 | ログオンシェル起動ツール |
実行中ファイルの同一性を確認する
ファイル名だけでは安全性を確立できません。実際のパス、署名、および製品の識別情報を確認してください。
出典と検証
記録された出典ラベル: 2026年8月。このラベルは独立した検証を証明するものではありません。 調査方法.
- Microsoft Learn: Winlogon · 認証後のuserinit
- Microsoft Learn: RunおよびRunOnce · Userinitに関連する永続化
- Foxholeプロセスマップ · Windows PC上のファーストパーティサンプル。ラボのベンチマークではありません。
- Microsoft Sysinternals: Sigcheck · ファイル署名の検査方法についての説明。このリファレンスは、実行中の特定ファイルの同一性や安全性を証明するものではありません。
- Microsoft: Get-CimInstance · 読み取り専用ローカル プロセス クエリ方法。
- Microsoft: Win32_Process プロパティ · プロセス ID、実行可能パス、作成日、および親 ID の再利用を文書化します。
この記事は役に立ちましたか？
「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。
ご協力ありがとうございます。ページの改善に役立てられます。