rundll32.exe

Windows-procesMicrosoft Corporation

Catalogus zoektermen rundll32, run a dll as an app

WindowsSysteemonderdeel

Run a DLL as an App. Het laadt een geëxporteerde functie vanuit een DLL. De opdrachtregel, niet de bestandsnaam, geeft aan wat het doet.

Wat u moet weten

Het exe-bestand is een starter. De DLL op de opdrachtregel is het echte programma.

rundll32.exe bestaat om een benoemde export in een DLL aan te roepen. Configuratiescherm-onderdelen en sommige printers gebruiken het nog steeds. Malware maakt graag misbruik van de vertrouwde naam. Open altijd de opdrachtregel.

Veilig?: Controleer het pad, de handtekening en de uitgever van het actieve bestand. De naam alleen kan geen veiligheid aantonen.
Kan malware het gebruiken?: Controleer het pad, de handtekening en de uitgever van het actieve bestand. De naam alleen kan geen veiligheid aantonen.
Moet ik het verwijderen?: Nee. Windows heeft de host nodig

Feex zegt

Ik beantwoord "is rundll32 veilig" nooit op basis van de bestandsnaam. Ik lees de argumenten. Een System32-rundll32 die een Temp-DLL start is waar het om gaat, niet de host.

Wat is rundll32.exe?

rundll32.exe is het gedocumenteerde Windows-hulpprogramma dat een DLL laadt en een export aanroept. De syntaxis is rundll32 DLL,EntryPoint.

Wat doet het?

Het heeft vrijwel geen eigen taak. Beeldscherminstellingen, oudere printerinterfaces en sommige Microsoft-applets starten nog steeds op deze manier. Een lege opdrachtregel is ongebruikelijk en de moeite waard om te onderzoeken.

Waarom wordt het uitgevoerd?

Iets heeft een DLL-invoerpunt aangeroepen in plaats van een exe. Geplande taken en overblijfselen van snelkoppelingen komen veel voor. Een kopie die vanuit SysWOW64 draait voor een 32-bits DLL is nog steeds Windows.

Inspecteer de actieve instantie

In Windows PowerShell, deze alleen-lezen query toont overeenkomende proces-ID's, aanmaaktijden en uitvoerbare paden op deze pc.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'rundll32.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Geen resultaat of een ontoegankelijk pad is niet doorslaggevend. Beveiligde processen kunnen toegang beperken en proces-ID's kunnen worden hergebruikt. Houd persoonlijke paden lokaal.

Gebruik de bestandsidentificatiegids om handtekeningen en productmetadata te vergelijken. Een bestandsnaam alleen kan geen veiligheid vaststellen.

Is het veilig?

Hangt af van de DLL

De host in System32 is legitiem. De veiligheid hangt af van het DLL-pad en de uitgever. Pagina's die louter op basis van de bestandsnaam beweren dat "rundll32 een virus is", slaan het enige deel over dat ertoe doet.

Vergelijk de vastgelegde locatie met het daadwerkelijke bestand. Een bekende map alleen vestigt geen identiteit.

C:\Windows\System32\rundll32.exe

Verwacht hostpad: System32 of SysWOW64
Lees de opdrachtregel elke keer
Een rundll32.exe in een gebruikersmap is niet de Windows-host

Kan ik het beëindigen?

Stopt die DLL-aanroep

Het beëindigen van het proces sluit dat onderdeel of die payload. Als de opdrachtregel naar een tijdelijke DLL wees, is dat het moment om persistentie te controleren.

Kan ik het verwijderen?

Nee voor de Windows-host

Verwijder System32\rundll32.exe niet. Verwijder de snelkoppeling of taak die een schadelijke DLL aanroept.

Moet het samen met Windows starten?

Een Opstarten-snelkoppeling die rundll32 aanroept, moet een volledig DLL-pad tonen. Een lege of genummerde naam is een verdacht signaal.

Meet resourcegebruik

Meet het huidige proces in plaats van uit te gaan van een universele basislijn
CPU en geheugen	Vergelijk verschillende waarnemingen voor dezelfde PID en workload. Deze vermelding heeft geen onafhankelijk gemeten universele basislijn.
Schijf en netwerk	Schrijf activiteit toe aan het daadwerkelijke proces en de huidige taak; een bestandsnaam alleen vestigt geen verwachte bestemmingen of overdrachtsvolume.

Bestandsinformatie

Bestandsinformatie over rundll32.exe
Naam van uitvoerbaar bestand	rundll32.exe
Vastgelegd installatiepad	C:\Windows\System32\rundll32.exe
Uitgever	Microsoft Corporation
Handtekeningcontrole	Inspecteer het daadwerkelijke bestand; deze vermelding certificeert de identiteit van het certificaat niet.

Veelvoorkomende problemen

rundll32 bij elke aanmelding

Open de map Opstarten en Taakplanner. De host is niet de autorun. De argumenten zijn dat wel.

Mensen verwijderen rundll32 om "virussen te stoppen"

Windows kan vervolgens verschillende onderdelen niet meer starten. De infectie zat in de DLL.

Probleemoplossing

Stel een diagnose voordat u destructieve wijzigingen aanbrengt.

Kopieer de volledige opdrachtregel

Taakbeheer-details of Process Explorer. Zoek naar dat DLL-pad, niet naar het woord rundll32.

Controleer het hostpad

Alleen System32 of SysWOW64. Elke andere rundll32.exe is een ander programma.

Technische details

Technische gegevens van rundll32.exe
Image-naam	rundll32.exe
Rol	DLL entry-point host

Controleer de identiteit van een actief bestand

Een bestandsnaam alleen kan geen veiligheid vaststellen. Verifieer het daadwerkelijke pad, de handtekening en de productidentiteit.

Bronnen en verificatie

Vastgelegd bronlabel: augustus 2026. Dit label vormt geen onafhankelijke verificatie. Hoe wij onderzoek doen.

Microsoft Learn: rundll32 · Officieel hostgebruik
Microsoft-ondersteuning: Windows · Openbare ondersteuningsnaamgeving
Foxhole-proceskaart · Voorbeelden van eerste partijen op Windows-pc's. Geen laboratoriumbenchmark.
Microsoft Sysinternals: Sigcheck · Legt uit hoe u bestandshandtekeningen inspecteert. Deze referentie stelt de identiteit of veiligheid van een specifiek actief bestand niet vast.
Microsoft: Get-CimInstance · Methode voor alleen-lezen lokale procesquery.
Microsoft: Win32_Process-eigenschappen · Documenteert proces-ID's, uitvoerbare paden, aanmaakdatums en hergebruik van ouder-ID.

Was dit artikel nuttig?

Een ja of nee is voldoende. Kies desgewenst een reden of voeg een korte opmerking toe.