Hoppa till innehåll

rundll32.exe

Windows-processMicrosoft Corporation

Katalogsöktermer rundll32, run a dll as an app

WindowsSystemkomponent

Kör en DLL som en app. Den läser in en exporterad funktion från en DLL-fil. Kommandoraden, inte filnamnet, anger vad den gör.

Vad du behöver veta

Exe-filen är ett startprogram. DLL-filen på kommandoraden är det verkliga programmet.

rundll32.exe finns för att anropa en namngiven export i en DLL-fil. Kontrollpanelens miniprogram och vissa skrivare använder den fortfarande. Skadlig kod älskar det betrodda namnet. Öppna alltid kommandoraden.

Säker?
Kontrollera den körande filens sökväg, signatur och utgivare. Namnet i sig kan inte fastställa säkerheten.
Kan skadlig kod använda den?
Kontrollera den körande filens sökväg, signatur och utgivare. Namnet i sig kan inte fastställa säkerheten.
Bör jag ta bort den?
Nej. Windows behöver värden
Feex säger
Jag svarar aldrig på "är rundll32 säker" utifrån filnamnet. Jag läser argumenten. En rundll32 i System32 som startar en Temp-DLL är det relevanta, inte värdprocessen.

Vad är rundll32.exe?

rundll32.exe är det dokumenterade Windows-verktyget som läser in en DLL och anropar en export. Syntaxen är rundll32 DLL,EntryPoint.

Vad gör den?

Den har nästan ingen egen uppgift. Skärminställningar, äldre skrivargränssnitt och vissa Microsoft-miniprogram startar fortfarande på detta sätt. En tom kommandorad är ovanligt och värt att undersöka.

Varför körs den?

Något anropade en DLL-startpunkt istället för en exe-fil. Schemalagda aktiviteter och genvägsrester är vanliga. En kopia som körs från SysWOW64 för en 32-bitars DLL är fortfarande Windows.

Inspektera den körande instansen

I Windows PowerShell listar denna skrivskyddade fråga matchande process-ID, skapelsetider och körbara sökvägar på denna dator.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'rundll32.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Inget resultat eller en otillgänglig sökväg är otillfredsställande. Skyddade processer kan begränsa åtkomst, och process-ID kan återanvändas. Behåll personliga sökvägar lokalt.

Använd filidentitetsguiden för att jämföra signaturer och produktmetadata. Ett filnamn ensamt kan inte fastställa säkerhet.

Är den säker?

Beror på DLL-filen

Värden i System32 är legitim. Säkerheten beror på DLL-sökvägen och utgivaren. Sidor som enbart utifrån filnamnet hävdar att "rundll32 är ett virus" hoppar över den enda del som spelar roll.

Jämför den registrerade platsen med den faktiska filen. En bekant mapp ensam fastställer inte identitet.

C:\Windows\System32\rundll32.exe

  • Förväntad värdsökväg: System32 eller SysWOW64
  • Läs kommandoraden varje gång
  • En rundll32.exe i en användarmapp är inte Windows-värden

Kan jag avsluta den?

Stoppar det DLL-anropet

Att avsluta processen stänger det miniprogrammet eller den nyttolasten. Om kommandoraden pekade mot en temporär DLL är det läge att undersöka persistens.

Kan jag ta bort den?

Nej för Windows-värden

Ta inte bort System32\rundll32.exe. Ta bort genvägen eller aktiviteten som anropar en skadlig DLL.

Bör den starta med Windows?

En startgenväg som anropar rundll32 ska visa en fullständig DLL-sökväg. Ett tomt eller numrerat namn är en varningsflagga.

Mät resursanvändning

Mät den aktuella processen snarare än att anta en universell baslinje
CPU och minne Jämför flera observationer för samma PID och arbetsbelastning. Denna post har ingen oberoende mätt universell baslinje.
Disk och nätverk Tillskriv aktivitet till den faktiska processen och den aktuella uppgiften; ett filnamn ensamt fastställer inte förväntade destinationer eller överföringsvolym.

Filinformation

Filinformation för rundll32.exe
Körbart namn rundll32.exe
Registrerad installationssökväg C:\Windows\System32\rundll32.exe
Utgivare Microsoft Corporation
Signaturkontroll Inspektera den faktiska filen; denna post certifierar inte dess certifikatidentitet.

Vanliga problem

rundll32 vid varje inloggning

Öppna mappen Autostart och Schemaläggaren. Värden är inte det automatiska startobjektet. Argumenten är det.

Folk tar bort rundll32 för att "stoppa virus"

Windows kan då inte starta flera miniprogram. Infektionen var DLL-filen.

Felsökning

Diagnostisera innan du ändrar något destruktivt.

Kopiera hela kommandoraden

Information i Aktivitetshanteraren eller Process Explorer. Sök efter den DLL-sökvägen, inte ordet rundll32.

Bekräfta värdsökvägen

Endast System32 eller SysWOW64. Alla andra rundll32.exe är ett annat program.

Tekniska detaljer

Tekniska detaljer
Tekniska detaljer för rundll32.exe
Avbildningsnamn rundll32.exe
Roll DLL-ingångspunktsvärd

Verifiera identiteten för en aktiv fil

Ett filnamn ensamt kan inte fastställa säkerhet. Verifiera den faktiska sökvägen, signaturen och produktidentiteten.

Källor och verifiering

Registrerad källetikett: augusti 2026. Denna etikett fastställer inte oberoende verifiering. Hur vi efterforskar.

Var denna artikel användbar?

Ett ja eller nej räcker. Välj en anledning om du vill, eller lägg till en kort anteckning.

Var denna artikel användbar?