winlogon.exe C:\Windows\System32\winlogon.exe

Processus d'ouverture de session interactive : gère la séquence d'attention sécurisée, charge le profil et lance l'interface de l'utilisateur.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

winlogon.exe gère l’ouverture et la fermeture de session interactives. Il traite la séquence d’attention sécurisée (Ctrl+Alt+Suppr), authentifie l’utilisateur par les fournisseurs d’authentification, charge son profil et son environnement, verrouille et déverrouille la station, puis lance userinit.exe, qui démarre l’interpréteur (explorer.exe). Il existe une instance par session interactive.

Ce qu’il contient

Un exécutable signé par Microsoft dans C:\Windows\System32.
Sa configuration est sous HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, notamment les valeurs Shell et Userinit.
Il s’appuie sur lsass.exe pour l’authentification.

Risques et bonnes pratiques

Ne le terminez pas : l’arrêt de winlogon.exe provoque un écran bleu ou la fin de la session.
Contrôlez Shell et Userinit, deux cibles classiques de persistance. Leurs valeurs par défaut sont explorer.exe et C:\Windows\system32\userinit.exe, (avec la virgule finale). Toute autre valeur doit s’expliquer.
Ne remplacez pas le fichier. S’il est corrompu, lancez sfc /scannow.

Commandes utiles

# Instances en cours : une par session interactive, chemin et signature à vérifier
Get-CimInstance Win32_Process -Filter "Name='winlogon.exe'" | Select-Object ProcessId, SessionId, ExecutablePath

# Signature numérique du fichier
Get-AuthenticodeSignature "$env:windir\System32\winlogon.exe" | Select-Object Status, @{n="Signer";e={$_.SignerCertificate.Subject}}

# Valeurs Shell et Userinit
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' | Select-Object Shell, Userinit

Signaler une erreur