userinit是什麼進程?userinit.exe異常解決方法步驟

2020-12-09 中華網

Userinit.exe是Windows作業系統一個關鍵進程。用於管理不同的啟動順序，例如在建立網絡連結和Windows殼的啟動。

詳細介紹

系統剛啟動時,如果你調出任務管理器就會看到userinit.exe ,但過一段時間,系統各項加載完畢後,userinit.exe就會自動消失的

最近電腦突然卡，發現殺毒軟體老是報告userinit.exe被修改

如果打開C:\WINDOWS\system32文件夾(如果您的系統不在c盤安裝，請找到對應的目錄)，找到userinit.exe、explorer.exe、ctfmon.exe、conime.exe文件，點擊右鍵查看屬性，如果在屬性窗口中看不到文件的版本標籤的話，說明已經中了機器狗。[1]

病毒創建userinit.exe，放入到%systemroot%system32目錄下。然後，userinit.exe開始接手工作。userinit.exe進程結束。

userinit.exe上臺後，開始創建svchost.exe進程。任務完成後，userinit.exe進程自動結束

svchost.exe就是主角登場了，它開始在本地埠4444號上監控，同時瘋狂下載諸如kaqhjaz.exekawdeaz.exe等病毒。如果它想，估計還會下載其它N多病毒。

通過以上三個動作，病毒已完成取得了系統指揮大權的全部過程。當病毒幹完它想幹的事情後，一切進程都稍無聲息的消失不見。於是乎，你不小心的話，根本就不會認為你的系統已被成功入侵了。真是天衣無縫呀!!前面兩個進程，在進程列表裡，停留的時間極短，幾乎是一閃而過。而後面主角svchost.exe，我想你怎麼也不會懷疑到它頭上。系統服務的核心進程，大部分都是用它啟動.

另外，最新的機器狗病毒，arp防火牆監控不到!!

穿破還原後，連接IP為xxx.xxx.xxx.xxx這個IP下載更厲害的變種病毒，破壞GHOST文件，自動打開SERVER服務，局域內迅速傳播!

如果已經被這個病毒迫害了系統，不能登陸，查看：

機器狗及其變種造成userinit.exe異常的解決方案

解決方法

電腦系統文件經常會受到病毒的侵擾，導致系統文件丟失、損壞。從網上下載系統文件進行替換，可能會因為系統文件版本與作業系統不相符造成不兼容的情況;建議使用專業的系統文件修復工具進行修復。

1、下載可牛殺毒系統急救箱。

2、點擊「開始急救」，進行一鍵式修復，智能匹配與作業系統相符的系統文件。

3、使用可牛免費殺毒對電腦進行全面掃描，清除電腦中存在的潛在危險。

以下分二部分，一部分是批處理，一部分是註冊表!請確保c:\windows\system32\userinit.exe是無毒文件

@echo off

md%systemroot%\system32\1

md %systemroot%\system32\1\2

copy /y c:\windows\system32\userinit.exe c:\windows\system32\1\2\

echo y|cacls c:\windows\system32\1\2 /p everyone:f

echo y|cacls c:\windows\system32\1 /p everyone:n

md

cacls % /e /p everyone:n

echo y|cacls c:\windows\system32\userinit.exe /p everyone:n

md c:\WINDOWS\AVPSrv.exe >nul 2>nul

md c:\WINDOWS\DiskMan32.exe >nul 2>nul

md c:\WINDOWS\IGM.exe>nul 2>nul

md c:\WINDOWS\Kvsc3.exe>nul 2>nul

md c:\WINDOWS\lqvytv.exe >nul 2>nul

md c:\WINDOWS\MsIMMs32.exe >nul 2>nul

md c:\WINDOWS\system32\3CEBCAF.EXE >nul 2>nul

md.exe >nul 2>nul

md c:\WINDOWS\system32\a.exe >nul 2>nul

md c:\WINDOWS\upxdnd.exe>nul 2>nul

md c:\WINDOWS\WinForm.exe >nul 2>nul

md c:\WINDOWS\system32\rsjzbpm.dll >nul 2>nul

md c:\WINDOWS\system32\racvsvc.exe >nul 2>nul

md c:\WINDOWS\cmdbcs.exe>nul 2>nul

md c:\WINDOWS\dbghlp32.exe >nul 2>nul

md c:\WINDOWS\nvdispdrv.exe>nul 2>nul

md c:\WINDOWS\system32\cmdbcs.dll >nul 2>nul

md c:\WINDOWS\system32\dbghlp32.dll >nul 2>nul

md c:\WINDOWS\system32\upxdnd.dll >nul 2>nul

md c:\WINDOWS\system32\yfmtdiouaf.dll >nul 2>nul

echo y|cacls.exec:\WINDOWS\AVPSrv.exe /d everyone >nul 1>nul

echo y|cacls.exe .exe /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\DiskMan32.exe /d everyone >nul 1>nul

echo y|cacls.exec:\WINDOWS\IGM.exe/d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\Kvsc3.exe/d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\lqvytv.exe /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\MsIMMs32.exe /d everyone >nul 1>nul

echo y|cacls.exec:\WINDOWS\system32\3CEBCAF.EXE /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\system32\a.exe /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\upxdnd.exe/d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\WinForm.exe /d everyone >nul 1>nul

echo y|cacls.exec:\WINDOWS\system32\rsjzbpm.dll /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\system32\racvsvc.exe /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\cmdbcs.exe/d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\dbghlp32.exe /d everyone >nul 1>nul

echo y|cacls.exec:\WINDOWS\nvdispdrv.exe/d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\system32\cmdbcs.dll /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\system32\dbghlp32.dll /d everyone >nul 1>nul

echo y|cacls.exec:\WINDOWS\system32\upxdnd.dll /d everyone >nul 1>nul

echo y|cacls.exe c:\WINDOWS\system32\yfmtdiouaf.dll /d everyone >nul 1>nul

echo reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IGM.EXE" /v debugger /t reg_sz /d debugfile.exe /f

echo gpupdate

exit

下面是註冊表部分!

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

"Userinit"="C:\\WINDOWS\\system32\\1\\2\\userinit.exe,"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\Userinit]

"EventMessageFile"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f, 00,6f,00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00, 5c,00,31,00,5c,00,32,00,5c,00,75,00,73,00,65,00,72,00,69,00,6e,00,69,00,74, 00,2e,00,65,00,78,00,65,00,00,00

"TypesSupported"=dword:00000007

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Eventlog\Application\Userinit]

"EventMessageFile"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f, 00,6f,00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00, 5c,00,31,00,5c,00,32,00,5c,00,75,00,73,00,65,00,72,00,69,00,6e,00,69,00,74, 00,2e,00,65,00,78,00,65,00,00,00

"TypesSupported"=dword:00000007

另存為*.reg

運行以上兩個文件,立即搞定.

第一步:複製一份沒有中毒的userinit.exe到SYSTEM32目錄,

第二步:把複製的userinit.exe改名為其他的文件名比如:mylogin.exe

第三步:修改[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]下的Userinit鍵值:C:\WINDOWS\system32\userinit.exe,

為:C:\WINDOWS\system32\mylogin.exe,

注意鍵值後面有個英文逗號

第四步:為userinit.exe免疫:意思就是建立一個userinit.exe目錄.去掉所有權限

手動​解決辦法

建議按照以下的順序殺毒，以防病毒捲土重來

1.用系統文件userinit.exe來替換被病毒修改的userinit.exe文件，路徑c:windows/system32/userinit.exe (以系統盤為C盤為例)在病毒未殺乾淨前，禁止IGM.exe、IGW.exe的運行。在dos窗口輸入：

r Options/IGM.EXE」 /v debugger /t reg_sz /d debugfile.exe /f

Options/IGW.EXE」 /v debugger /t reg_sz /d debugfile.exe /f

說明：利用了映象劫持(本次專題知識點，縮寫為IFEO)技術，禁止了IGW.exe和IGM.exe的運行。

2.進入安全模式，刪除註冊表鍵值

刪除[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run] 下的「WinSysM」、「WinSys」鍵值。

[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer/Run] 下的

「MSDEG32」、「MSDWG32」、「MSDCG32」、「MSDOG32」、「MSDSG32」、「MSDMG32」、「MSDHG32」、「MSDQG32」鍵值。

將[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Windows] 下的「AppInit_DLLs」裡的內容清空。

刪除[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Shell/ExecuteHooks] 下的

smydpm.dll

m32 sztcpm.dll

m32 C:/windows/system32kawdbzy.dll

arjbpi.dll

m32 C:/windows/system32avzxdmn.dll

aqjbpi.dll

m32 C:/windows/system32/avwgcmn.dll

C:/windows/system32/kapjbzy.dll

C:/windows/system32/kaqhezy.dll

C:/windows/system32/avwlbmn.dll

atbfpi.dll

m32 C:/windows/system32/kvdxcma.dll

sjzbpm.dll

m32 C/:windows/system32/kafyezy.dll

3.進入安全模式，強制刪除以下文件，可利用工具XDelBox

C:/Windows/system32/kvdxsbma.dll

C:/Windows/system32/rsjzbpm.dll

C:/Windows/system32/kvdxcma.dll

C:/Windows/system32/ratbfpi.dll

C:/Windows/system32/avwlbmn.dll

C:/Windows/system32/kaqhezy.dll

C:/Windows/system32/kapjbzy.dll

C:/Windows/system32/avwgcmn.dll

C:/Windows/system32/raqjbpi.dll

C:/Windows/system32/avzxdmn.dll

C:/Windows/system32/rarjbpi.dll

C:/Windows/system32/kawdbzy.dll

C:/Windows/system32/rsztcpm.dll

C:/Windows/system32/rsmydpm.dll

C:/Windows/igw.exe

C:/Windows/igm.exe

C:/Windows/system32/sedrsvedt.exe

C:/Windows/igm.exe

C:/Windows/system32/sjzbpm.dll

C:/Windows/system32/acvsvc.exe

C:/Windows/system32/driverssvchost.exe

C:/Windows/cmdbcs.exe

C:/Windows/dbghlp32.exe

C:/Windows/vdispdrv.exe

C:/Windows/upxdnd.exe

C:/Windows/system32/cmdbcs.dll

C:/Windows/system32/dbghlp32.dll

C:/Windows/system32/upxdnd.dll

C:/Windows/system32/yfmtdiouaf.dll

4.搜索所有的磁碟根目錄，刪除隱藏文件auto.exe和autorun.inf

5.運行services.msc，禁止服務「4f506c9e」

6.另外查看hosts文件，檢查是否病毒網站IP被強制關聯了

問題描述

出現提示缺少exe文件問題的大部分原因是因該文件被木馬病毒破壞導致系統程序找不到此文件，出現錯誤提示框，或程序無法運行，解決此問題只需找到專業的exe文件下載網站，下載該文件後，找到適合程序的文件版本，複製到相應目錄。即可解決。

1、Windows 95/98/Me系統，則複製到C:\WINdows\system32\ 目錄下。

2、Windows NT/2000系統，則複製到C:\WINNT\system32\ 目錄下。

3、Windows XP系統，則複製到C:\WINdows\system32\ 目錄下。

4、Windows 7/8系統，則複製到C:\WINdows\system32\目錄下。

責任編輯：kj005

文章投訴熱線:156 0057 2229 投訴郵箱:29132 36@qq.com

相關焦點

  • copy_{to, from}_user()的思考
    畢竟它是kernel space和user space溝通的橋梁。所有的數據交互都應該使用類似這種接口。所以，我們沒有理由不知道接口的作用。但是，我也曾經有過以下疑問。為什麼需要copy_{to,from}_user()，它究竟在背後為我們做了什麼？copy_{to,from}_user()和memcpy()的區別是什麼，直接使用memcpy()可以嗎？
  • copy_{to,from}_user()的思考
    畢竟它是kernel space和user space溝通的橋梁。所有的數據交互都應該使用類似這種接口。所以，我們沒有理由不知道接口的作用。但是，我也曾經有過以下疑問。為什麼需要copy_{to,from}_user()，它究竟在背後為我們做了什麼？copy_{to,from}_user()和memcpy()的區別是什麼，直接使用memcpy()可以嗎？
  • 《逃離塔科夫》baduserregion208怎麼辦 208錯誤異常問題解決方法
    導 讀 逃離塔科夫最近出現很多登錄錯誤提示，玩家遇到最多的就是bad user region 208的登錄錯誤提示
  • username什麼意思 username的中文意思是什麼?
    username的中文意思是用戶名，常作為登陸、登入以及登錄等的帳戶名，即所在網站的識別碼。username是什麼意思username的中文意思為用戶名，是網絡術語之一。就是要登陸(登入、登錄、進入等)的帳戶名，即在所在網站的識別碼。可以使用漢字、字母、字碼等，如珠穆朗瑪峰，zmlmf,12345，等，都作為用戶名。
  • 2020徵文-開發板鴻蒙liteos-a如何啟動第一個用戶進程Init_lite
    第一個用戶態進程init_liteInit_lite的位置：涉及以下模塊：· init啟動引導支持使用LiteOS-A內核的平臺，當前包括：Hi3516DV300平臺和Hi3518EV300平臺。負責處理從內核加載第一個用戶態進程開始，到第一個應用程式啟動之間的系統服務進程啟動過程。
  • ARM Linux異常處理之data abort二
    force_sig_info(info->si_signo, info, current);} else {die(str, regs, err);}}該函數首先使用user_mode判斷abort時是屬於用戶模式還是內核模式，判斷方法是看cpsr寄存器中的模式位。按照arm的定義，模式位為0代表用戶模式。
  • django 自帶 user 欄位擴展及頭像上傳
    表和 user_profile 表這個方法雖然是官方推薦的，但是個人還是覺得很麻煩，獲取 profile 的欄位值還需要通過 user 表的外鍵獲取 profile 實例，然後再獲取欄位值，再考慮到 django 的通過外鍵生成反向欄位也需要做些處理，如果說我們只需要額外添加一個欄位，需要做那麼多工作，我是拒絕的。
  • 收藏備用,MySQL8下忘密碼後重置密碼的辦法(MySQL5老方法不靈了)
    UPDATE user SET authentication_string='' WHERE user='root';這類命令設置密碼或者將密碼置空。或者繼續研究–skip-grant-tables命令行參數下服務不能啟動的原因，解決問題，然後啟動服務後以空密碼登入，手工輸入命令，執行清除或者重置mysql.user表中的密碼記錄欄位。推薦使用前者。
  • smss.exe是什麼
    smss.exe(Session Manager Subsystem)，該進程為會話管理子系統用以初始化系統變量，MS-DOS驅動名稱類似LPT1以及COM，調用Win32殼子系統和運行在Windows登陸過程。這是一個會話管理子系統，負責啟動用戶會話。
  • 美團面試:為什麼能直接調用userMapper接口的方法?
    看源碼有什麼用？通過源碼的學習，我們可以收穫Mybatis的核心思想和框架設計，另外還可以收穫設計模式的應用。所以我們直接進入DefaultSqlSession的getMapper方法。這裡有三個問題：問題1：getMapper返回的是個什麼對象？上面可以看出，getMapper方法調用的是Configuration中的getMapper方法。
  • ARM Linux異常處理之data abort
    )ret_to_user會判斷是否需要進行進程調度，並最終返回到用戶空間。force_sig_info(info->si_signo, info, current);} else {die(str, regs, err);}}該函數首先使用user_mode判斷abort時是屬於用戶模式還是內核模式，判斷方法是看cpsr寄存器中的模式位。按照arm的定義，模式位為0代表用戶模式。
  • 史上最強Android保活思路:深入剖析騰訊TIM的進程永生技術
    force-stop會殺整個進程組，所以這個方法幾乎很難生效了。問題3：進程內的名叫「Thread-89」的線程具有什麼特點，如何做到把進程殺掉？從下面的截圖，可以看出MSF進程的這個特殊的線程當前在執行flock_lock操作，這個明顯是一個文件加鎖的操作， 這個方法很快就引起了我的注意。同理Daemon進程也有一個這樣的線程， 離真相有近了一步。
  • 電腦小技巧--如何處理svchost.exe進程
    」進程，佔用了不少CPU和內存，有些是系統自帶的服務進程，有些可能是病毒偽裝潛伏在電腦中的，今天給大家介紹下「svchost.exe」進程的辨別與清除方法首先，svchost.exe是微軟Windows作業系統中的系統文件，微軟官方對它的解釋是：svchost.exe 是從動態連結庫 (DLL) 中運行的服務的通用主機進程名稱。
  • python os.path.expanduser 的作用
    python的os.path 模塊提供了一個expanduser函數，它可以將參數中開頭部分的 ~ 或
  • MySQL 中DROP USER語句的使用詳解
    但是在使用drop user語句之前，應該撤銷用戶的特權，或者換句話說，如果用戶沒有特權，那麼可以使用drop user語句從Mysql資料庫伺服器刪除用戶。語法：DROP USER 'user'@'host';參數：1. user：這是要刪除的用戶帳戶的用戶名。2. host：它是用戶帳戶的主機伺服器名。
  • ubuntu18.04 django 連接 mysql 資料庫方法和常見錯誤總結
    ', }}（3）在和你新建的django項目同名的文件夾下的 __init__.py 文件中添加如下語句，如我的 django 項目名稱叫 helloworld，那麼就在helloworld/helloworld文件夾下的 __init__.py 中添加如下語句：import pymysqlpymysql.install_as_MySQLdb
  • 命令詳解第三篇:Linux如何查看進程、殺死進程、啟動進程等常用命令
    最常用的方法是ps aux,然後再通過管道使用grep命令過濾查找特定的進程,然後再對特定的進程進行操作。    ps aux | grep program_filter_word,ps -ef |grep tomcatps -ef|grep java|grep -v grep 顯示出所有的java進程，去處掉當前的grep進程。
  • Windows 應用程式 exe 打開方式出錯恢復解決方法
    但是沒過多久他的電腦就出現問題了，而且這個問題還非常嚴重，嚴重到 Windows 系統中無法正常打開 .exe 格式後綴的應用程式了。雖然我不清楚他是什麼原因造成的這種問題，但是我能保證的是激活工具是絕對沒有問題的。
  • 寫代碼注意了,打死都不要用 User 這個單詞!
    現在你需要解決這些問題，才能讓這個系統繼續運行下去，你發現你用在這個項目上的精力遠遠超出了你的預期，如果一開始就用正確的方式來做，就不會發生這樣的事。「user」 的概念是模糊不清的，使用更精準的術語幾乎總是能起到更好的效果。你沒有使用者最開始，沒有任何一個軟體系統真的有使用者存在。乍一看「user」是一個好的描述，但是你稍微一想就會意識到你的業務邏輯實際上比這要複雜的多。