userinit.exe
目录搜索词 userinit, userinit logon application
Userinit Logon Application。在你登录后，winlogon 会启动此文件，以便它可以启动外壳程序（通常为 explorer.exe）。
您需要了解的内容
它在登录后启动 Explorer，随后应当消失。从未退出的 userinit 需要检查路径。
userinit.exe 是有文档记载的登录帮助程序。winlogon 会启动它。它启动 Userinit 值（通常为 explorer.exe），然后退出。持久性恶意软件非常喜欢利用这个同名的 Run 键名。
- 安全吗？
- 请检查正在运行的文件的路径、签名和发布者。仅凭名称无法确定安全性。
- 它应该保持运行吗？
- 外壳启动后它通常会退出
- 是恶意软件名称吗？
- 请检查正在运行的文件的路径、签名和发布者。仅凭名称无法确定安全性。
什么是 userinit.exe？
userinit.exe 是 Userinit Logon Application。它是 winlogon 对你进行身份验证后的官方下一跳。
它的作用是什么？
它会恢复网络连接并启动 Userinit 注册表值中列出的外壳程序。在正常的电脑上，该外壳程序为 explorer.exe，之后 userinit 便会退出。
为什么它在运行？
你刚刚登录。一小时后仍在运行的副本要么是自定义外壳替换项，要么是伪装的路径。
检查正在运行的实例
在 Windows PowerShell 中，此只读查询会列出此 PC 上匹配的进程 ID、创建时间和可执行文件路径。
Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List
无结果或路径不可访问是不可判断的。受保护的进程可能会限制访问，并且进程 ID 会被重用。请将个人路径保留在本地。
使用 文件身份指南 来比较签名和产品元数据。仅文件名无法确定安全性。
它安全吗？
检查路径及其存活时间
运行后退出的 System32 userinit 属于 Windows。用户文件夹中的第二个 userinit，或者指向其他位置的 Userinit 注册表值，则是经典的持久化攻击手法。
将记录的位置与实际文件进行比较。熟悉的文件夹本身并不能确定身份。
C:\Windows\System32\userinit.exe
- 由 winlogon 启动
- 应当启动 explorer.exe 并退出
- 先确认路径，再确认发布者
我可以结束它吗？
仅可结束残留的伪装项
登录期间不要结束 System32 副本。这可能会中断桌面的启动。在确认路径后，位于错误文件夹中且长期存在的副本属于恶意软件处置步骤。
我可以删除它吗？
仅限伪装副本
不要删除 System32\userinit.exe。如果外壳无法启动，请修复 Userinit 注册表值。这属于高级修复操作。
它应该随 Windows 一起启动吗？
登录时会启动它一次。它不应单独作为“启动应用”中的一行。
测量资源使用情况
| CPU 和内存 | 比较同一 PID 和工作负载的几次观察结果。此条目没有独立测量的通用基线。 |
|---|---|
| 磁盘和网络 | 将活动归因于实际进程和当前任务；仅文件名本身并不能确定预期的目标或传输量。 |
文件信息
| 可执行文件名称 | userinit.exe |
|---|---|
| 记录的安装路径 | C:\Windows\System32\userinit.exe |
| 发布者 | Microsoft Corporation |
| 签名检查 | 检查实际文件；此条目不保证其证书身份。 |
常见问题
桌面始终不出现
如果 Userinit 被篡改以跳过 explorer.exe，你将获得一个空白的外壳。这需要排查注册表，而不是壁纸丢失的问题。
两个 userinit.exe 行
登录期间位于 System32 中的一个是正常的。来自 Temp 且保持常驻的一个则不正常。
故障排除
在进行任何破坏性更改之前先进行诊断。
立即打开文件位置
对于真正的帮助程序，System32 是唯一预期的答案。
不要通过随意的 .reg 来“修复”Userinit
那些文件是攻击载荷的最爱。
技术细节
技术细节
| 映像名称 | userinit.exe |
|---|---|
| 角色 | 登录外壳启动器 |
检查运行中文件的身份标识
仅文件名无法确定安全性。请验证实际路径、签名和产品身份。
来源与验证
记录的来源标签：August 2026。此标签并不代表已完成独立验证。 我们的研究方式.
- Microsoft Learn：Winlogon · 身份验证后的 userinit
- Microsoft Learn：Run 和 RunOnce · 与 Userinit 相关的持久性
- Foxhole 进程图谱 · Windows PC 上的第一方采集样本。非实验室基准测试。
- Microsoft Sysinternals: Sigcheck · 说明如何检查文件签名。此参考资料并不代表能确定特定运行中文件的身份或安全性。
- Microsoft: Get-CimInstance · 只读本地进程查询方法。
- Microsoft: Win32_Process 属性 · 记录进程 ID、可执行文件路径、创建日期和父 ID 重用。
这篇文章有用吗？
回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。
感谢。这有助于我们改进此页面。