1. [Wiki](https://feex.it/wiki/)
2. [Processos](https://feex.it/wiki/process/)
3. [Processos do Windows](https://feex.it/wiki/process/windows/)
4. userinit.exe

# userinit.exe

Processo do Windows: Microsoft Corporation

Termos de pesquisa do catálogo userinit, userinit logon application

Windows, Componente do sistema

Aplicativo de logon Userinit. Depois que voce faz logon, o winlogon inicia este arquivo para que ele possa abrir o shell, normalmente o explorer.exe.

## O que você precisa saber

Ele inicia o Explorer apos o logon e depois deve ser encerrado. Um userinit que nunca termina requer verificacao de caminho.

O userinit.exe e o auxiliar de logon documentado. O winlogon o executa. Ele inicia o valor de Userinit, normalmente o explorer.exe, e em seguida finaliza. Malwares de persistencia costumam usar esse mesmo nome de chave Run.

- **Seguro?**: Verifique o caminho, a assinatura e o fornecedor do arquivo em execução. O nome por si só não pode comprovar a segurança.

  **Deve continuar em execução?**: Normalmente e encerrado apos o inicio do shell

  **Nome de malware?**: Verifique o caminho, a assinatura e o fornecedor do arquivo em execução. O nome por si só não pode comprovar a segurança.

A Feex diz

Sempre abro a pasta do userinit. Em System32 e com duracao curta, trata-se do logon. Um userinit.exe executado a partir de AppData que permanece o dia todo e uma situacao diferente.

## O que e o userinit.exe?

userinit.exe e o Aplicativo de logon Userinit. E o proximo passo oficial apos o winlogon concluir a autenticacao.

## O que ele faz?

Ele restaura conexoes de rede e inicia o shell listado no valor de registro Userinit. Em um PC integro, esse shell e o explorer.exe e o userinit entao se encerra.

## Por que está em execução?

Voce acabou de fazer logon. Uma copia que continua em execucao uma hora depois ou e uma substituicao personalizada do shell ou esta em um caminho falso.

## Inspecione a instância em execução

No Windows PowerShell, esta consulta somente leitura lista IDs de processo correspondentes, tempos de criação e caminhos executáveis neste PC.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Nenhum resultado ou um caminho inacessível é inconclusivo. Processos protegidos podem restringir o acesso e IDs de processo podem ser reutilizados. Mantenha caminhos pessoais locais.

Use o [guia de identidade de arquivo](https://feex.it/wiki/l/pt/software/system/verify-executable-path-signature/) para comparar assinaturas e metadados do produto. Um nome de arquivo sozinho não pode estabelecer segurança.

## Ele é seguro?

Verifique o caminho e o tempo de execucao

O userinit em System32 que se encerra pertence ao Windows. Um segundo userinit em uma pasta de usuario, ou um valor de registro Userinit apontando para outro local, e o truque classico de persistencia.

Compare o local registrado com o arquivo real. Uma pasta familiar sozinha não estabelece identidade.

`C:\Windows\System32\userinit.exe`

- Iniciado pelo winlogon
- Deve iniciar o explorer.exe e ser encerrado
- Primeiro o caminho, depois o fornecedor

## Posso finalizá-lo?

Apenas um falso remanescente

Nao finalize a copia de System32 durante o logon. Voce pode interromper a inicializacao da area de trabalho. Uma copia de longa duracao vinda da pasta incorreta e tratada como malware apos confirmar o caminho.

## Posso removê-lo?

Apenas uma cópia falsa

Nao exclua System32\userinit.exe. Repare o valor de registro Userinit se o shell nao iniciar. Esse e um procedimento avancado de reparo.

## Ele deve iniciar com o Windows?

O logon o inicia uma vez. Nao deve ser uma linha propria em Aplicativos de Inicializacao.

## Meça o uso de recursos

| CPU e memória | Compare várias observações para o mesmo PID e carga de trabalho. Esta entrada não tem uma linha de base universal medida independentemente.   |
| ------------- | --------------------------------------------------------------------------------------------------------------------------------------------- |
| Disco e rede  | Atribua atividade ao processo real e à tarefa atual; um nome de arquivo sozinho não estabelece destinos esperados ou volume de transferência. |

## Informações do arquivo

| Nome do executável               | userinit.exe                                                                           |
| -------------------------------- | -------------------------------------------------------------------------------------- |
| Caminho de instalação registrado | C:\Windows\System32\userinit.exe                                                       |
| Fornecedor                       | Microsoft Corporation                                                                  |
| Verificação de assinatura        | Inspecione o arquivo real; esta entrada não certifica a identidade do seu certificado. |

## Problemas comuns

### A area de trabalho nunca aparece

Se o Userinit foi reescrito para ignorar o explorer.exe, o shell fica em branco. Trata-se de uma investigacao de registro, nao de um papel de parede ausente.

### Duas linhas do userinit.exe

Uma em System32 durante o logon e normal. Uma em Temp que permanece nao e.

## Solução de problemas

Diagnostique antes de fazer qualquer alteração destrutiva.

### Abrir local do arquivo imediatamente

System32 e o unico local esperado para o auxiliar legitimo.

### Nao tente "consertar" o Userinit usando um arquivo .reg desconhecido

Esses arquivos costumam ser usados para carregar ameacas.

## Detalhes técnicos

Detalhes técnicos

| Nome da imagem | userinit.exe                    |
| -------------- | ------------------------------- |
| Função         | Inicializador do shell de logon |

## Verifique a identidade de um arquivo em execução

Um nome de arquivo sozinho não pode estabelecer segurança. Verifique o caminho real, a assinatura e a identidade do produto.

## Relacionados

Estas entidades conectam-se a este artigo. O tipo é indicado em cada link.

[winlogon.exe: Processo do Windows](https://feex.it/wiki/l/pt/process/winlogon.exe/)[explorer.exe: Processo do Windows](https://feex.it/wiki/l/pt/process/explorer.exe/)[O que é um processo do Windows: Guia](https://feex.it/wiki/l/pt/software/system/what-is-a-windows-process/)[Verifique um caminho executável e a assinatura digital: Guia](https://feex.it/wiki/l/pt/software/system/verify-executable-path-signature/)[Leia o Gerenciador de Tarefas e compare a atividade do processo: Guia](https://feex.it/wiki/l/pt/software/system/how-to-read-task-manager/)[Processos do Windows: Categoria](https://feex.it/wiki/process/windows/)

## Fontes e verificação

Rótulo de fonte registrada: agosto de 2026. Este rótulo não comprova verificação independente. [Como pesquisamos](https://feex.it/wiki/research/).

- [Microsoft Learn: Winlogon ](https://learn.microsoft.com/windows/win32/secauthn/winlogon)· userinit apos autenticacao
- [Microsoft Learn: Run e RunOnce ](https://learn.microsoft.com/windows/win32/setupapi/run-and-runonce-registry-keys)· Persistencia relacionada ao Userinit
- [Mapa de processos do Foxhole ](https://foxhole.feex.it/)· Amostras proprietárias em computadores Windows. Não é um benchmark de laboratório.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Explica como inspecionar assinaturas de arquivo. Esta referência não estabelece a identidade ou segurança de um arquivo específico em execução.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Método de consulta de processo local somente leitura.
- [Microsoft: Propriedades de Win32_Process ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Documenta IDs de processo, caminhos executáveis, datas de criação e reutilização de ID pai.

## Este artigo foi útil?

Um sim ou não é suficiente. Escolha um motivo se desejar, ou adicione uma breve observação.

Fatos rápidos

A identificação resumida desta página. Especificações, fontes e o conteúdo completo permanecem no artigo.

- **Tipo**: Processo do Windows

  **Fornecedor**: Microsoft Corporation

  **Executável**: userinit.exe

  **Caminho típico**: C:\Windows\System32\userinit.exe

  **Registrar contexto**: Entrada da referência do Feex Wiki

Status da fonte registrada: Revisado pela Feex: Rótulo de fonte registrada: agosto de 2026. Este rótulo não comprova verificação independente.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/pt/process/userinit.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)