| 注册表路径 | HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon |
|---|---|
| 正常 Userinit | C:\Windows\system32\userinit.exe, |
| 正常 Shell | explorer.exe |
| 异常特征 | 值尾追加逗号与额外程序路径 |
检查 Winlogon 关键值
检查 Winlogon 关键值
$k = 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon'
Get-ItemProperty $k | Select-Object Userinit, Shell, Taskman, AppSetup
Get-ItemProperty $k -Name Userinit | Select-Object -ExpandProperty Userinit恶意追加常写成 userinit.exe,C:\Users\Public\x.exe；只看开头出现 userinit.exe 就放过是最常见的漏检原因。