userinit.exe

Processo do WindowsMicrosoft Corporation

Termos de pesquisa do catálogo userinit, userinit logon application

WindowsComponente do sistema

Aplicativo de logon Userinit. Depois que voce faz logon, o winlogon inicia este arquivo para que ele possa abrir o shell, normalmente o explorer.exe.

O que você precisa saber

Ele inicia o Explorer apos o logon e depois deve ser encerrado. Um userinit que nunca termina requer verificacao de caminho.

O userinit.exe e o auxiliar de logon documentado. O winlogon o executa. Ele inicia o valor de Userinit, normalmente o explorer.exe, e em seguida finaliza. Malwares de persistencia costumam usar esse mesmo nome de chave Run.

Seguro?: Verifique o caminho, a assinatura e o fornecedor do arquivo em execução. O nome por si só não pode comprovar a segurança.
Deve continuar em execução?: Normalmente e encerrado apos o inicio do shell
Nome de malware?: Verifique o caminho, a assinatura e o fornecedor do arquivo em execução. O nome por si só não pode comprovar a segurança.

A Feex diz

Sempre abro a pasta do userinit. Em System32 e com duracao curta, trata-se do logon. Um userinit.exe executado a partir de AppData que permanece o dia todo e uma situacao diferente.

O que e o userinit.exe?

userinit.exe e o Aplicativo de logon Userinit. E o proximo passo oficial apos o winlogon concluir a autenticacao.

O que ele faz?

Ele restaura conexoes de rede e inicia o shell listado no valor de registro Userinit. Em um PC integro, esse shell e o explorer.exe e o userinit entao se encerra.

Por que está em execução?

Voce acabou de fazer logon. Uma copia que continua em execucao uma hora depois ou e uma substituicao personalizada do shell ou esta em um caminho falso.

Inspecione a instância em execução

No Windows PowerShell, esta consulta somente leitura lista IDs de processo correspondentes, tempos de criação e caminhos executáveis neste PC.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Nenhum resultado ou um caminho inacessível é inconclusivo. Processos protegidos podem restringir o acesso e IDs de processo podem ser reutilizados. Mantenha caminhos pessoais locais.

Use o guia de identidade de arquivo para comparar assinaturas e metadados do produto. Um nome de arquivo sozinho não pode estabelecer segurança.

Ele é seguro?

Verifique o caminho e o tempo de execucao

O userinit em System32 que se encerra pertence ao Windows. Um segundo userinit em uma pasta de usuario, ou um valor de registro Userinit apontando para outro local, e o truque classico de persistencia.

Compare o local registrado com o arquivo real. Uma pasta familiar sozinha não estabelece identidade.

C:\Windows\System32\userinit.exe

Iniciado pelo winlogon
Deve iniciar o explorer.exe e ser encerrado
Primeiro o caminho, depois o fornecedor

Posso finalizá-lo?

Apenas um falso remanescente

Nao finalize a copia de System32 durante o logon. Voce pode interromper a inicializacao da area de trabalho. Uma copia de longa duracao vinda da pasta incorreta e tratada como malware apos confirmar o caminho.

Posso removê-lo?

Apenas uma cópia falsa

Nao exclua System32\userinit.exe. Repare o valor de registro Userinit se o shell nao iniciar. Esse e um procedimento avancado de reparo.

Ele deve iniciar com o Windows?

O logon o inicia uma vez. Nao deve ser uma linha propria em Aplicativos de Inicializacao.

Meça o uso de recursos

Meça o processo atual em vez de assumir uma linha de base universal
CPU e memória	Compare várias observações para o mesmo PID e carga de trabalho. Esta entrada não tem uma linha de base universal medida independentemente.
Disco e rede	Atribua atividade ao processo real e à tarefa atual; um nome de arquivo sozinho não estabelece destinos esperados ou volume de transferência.

Informações do arquivo

Informacoes sobre o arquivo userinit.exe
Nome do executável	userinit.exe
Caminho de instalação registrado	C:\Windows\System32\userinit.exe
Fornecedor	Microsoft Corporation
Verificação de assinatura	Inspecione o arquivo real; esta entrada não certifica a identidade do seu certificado.

Problemas comuns

A area de trabalho nunca aparece

Se o Userinit foi reescrito para ignorar o explorer.exe, o shell fica em branco. Trata-se de uma investigacao de registro, nao de um papel de parede ausente.

Duas linhas do userinit.exe

Uma em System32 durante o logon e normal. Uma em Temp que permanece nao e.

Solução de problemas

Diagnostique antes de fazer qualquer alteração destrutiva.

Abrir local do arquivo imediatamente

System32 e o unico local esperado para o auxiliar legitimo.

Nao tente "consertar" o Userinit usando um arquivo .reg desconhecido

Esses arquivos costumam ser usados para carregar ameacas.

Detalhes técnicos

Detalhes tecnicos do userinit.exe
Nome da imagem	userinit.exe
Função	Inicializador do shell de logon

Verifique a identidade de um arquivo em execução

Um nome de arquivo sozinho não pode estabelecer segurança. Verifique o caminho real, a assinatura e a identidade do produto.

Fontes e verificação

Rótulo de fonte registrada: agosto de 2026. Este rótulo não comprova verificação independente. Como pesquisamos.

Microsoft Learn: Winlogon · userinit apos autenticacao
Microsoft Learn: Run e RunOnce · Persistencia relacionada ao Userinit
Mapa de processos do Foxhole · Amostras proprietárias em computadores Windows. Não é um benchmark de laboratório.
Microsoft Sysinternals: Sigcheck · Explica como inspecionar assinaturas de arquivo. Esta referência não estabelece a identidade ou segurança de um arquivo específico em execução.
Microsoft: Get-CimInstance · Método de consulta de processo local somente leitura.
Microsoft: Propriedades de Win32_Process · Documenta IDs de processo, caminhos executáveis, datas de criação e reutilização de ID pai.

Este artigo foi útil?

Um sim ou não é suficiente. Escolha um motivo se desejar, ou adicione uma breve observação.