B08 – Windows-kern: Winlogon basiscontrole
B08 – Windows-kern: Winlogon basiscontrole
Gebruik dit wanneer:
• Windows niet goed opstart
• Shell (Explorer) niet laadt
• Profielen niet worden geladen
• Aanmeldscherm blijft hangen
• Userinit of Shell afwijkingen tonen
• Malware Winlogon-keys heeft aangepast
Stap 1 – Controleren of Winlogon actief is
Open Taakbeheer → Details
Moet aanwezig zijn:
• winlogon.exe
Afwijkingen:
• ontbreekt → kritieke fout
• meerdere instanties → malware
• hoge CPU → shell-initialisatieprobleem
Locatie van winlogon.exe:
C:\Windows\System32\winlogon.exe
Als bestand ontbreekt:
→ systeem onbruikbaar → B16 (Winlogon herstellen)
Stap 2 – Controleren van Userinit
1. Win + R → regedit
2. Ga naar:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Controleer waarde:
• Userinit = C:\Windows\System32\userinit.exe,
Let op:
• komma aan het einde moet aanwezig zijn
• geen extra paden
• geen verwijzing naar tools
Afwijkingen:
• ontbrekende komma → profiel laadt niet
• verwijzing naar .bat/.cmd → malware
• ontbrekende userinit.exe → B18 (UserInit herstellen)
Stap 3 – Controleren van Shell
In dezelfde sleutel:
• Shell = explorer.exe
Afwijkingen:
• Shell verwijst naar tool → malware
• Shell ontbreekt → Explorer start niet
• Shell verwijst naar verkeerde map → shell-corruptie
Stap 4 – Controleren van AutoAdminLogon
In dezelfde sleutel:
• AutoAdminLogon = 0 of 1
Afwijkingen:
• waarde op 1 zonder bedoeling → automatische login
• waarde op 0 terwijl automatische login hoort → profielprobleem
Stap 5 – Controleren van DefaultUserName
In dezelfde sleutel:
• DefaultUserName moet bestaan bij AutoAdminLogon = 1
Afwijkingen:
• ontbreekt → login-loop
• verkeerd → verkeerde account wordt geladen
Stap 6 – Controleren van DefaultPassword
Alleen relevant bij AutoAdminLogon = 1
Afwijkingen:
• ontbreekt → login mislukt
• aanwezig terwijl niet gebruikt → beveiligingsrisico
Stap 7 – Controleren van Winlogon-notificaties
Locatie:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
Controleer:
• subkeys bestaan
• DLL’s aanwezig in System32
Afwijkingen:
• ontbrekende DLL → shell-initialisatie mislukt
• onbekende DLL → malware
Stap 8 – Controleren van GINA (oude systemen)
Locatie:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Controleer:
• Geen waarde genaamd “GinaDLL”
Als GinaDLL bestaat:
→ systeem gebruikt aangepaste login-module → fout of malware
Stap 9 – Controleren van Winlogon-events
1. Win + R → eventvwr.msc
2. Ga naar:
Windows Logs → Application
Windows Logs → System
Zoek naar:
• Winlogon
• Userinit
• ProfSvc
• Shell
Veelvoorkomende fouten:
• “Userinit failed to load” → B18
• “Shell failed to start” → B41–B50
• “Profile cannot be loaded” → B17
Stap 10 – Controleren van Winlogon-componenten
Locatie:
C:\Windows\System32
Controleer:
• winlogon.exe
• userinit.exe
• logonui.exe
Afwijkingen:
• ontbrekende bestanden → B16–B18
• verkeerde versies → update-corruptie (B61–B65)
Stap 11 – Controleren van Winlogon-permissies
1. Rechtsklik op:
C:\Windows\System32\winlogon.exe
2. Eigenschappen → Beveiliging
Moet bevatten:
• SYSTEM (volledig)
• Administrators (lezen)
• TrustedInstaller (eigenaar)
Afwijkingen:
• verkeerde eigenaar → servicing stack corrupt
• ontbrekende SYSTEM → kritieke fout
Stap 12 – Conclusie
Als alle bovenstaande onderdelen correct zijn:
→ Winlogon is intact
Als één of meerdere onderdelen afwijkingen tonen:
→ vervolg met:
B16 (Winlogon herstellen)
B17 (ProfSvc herstellen)
B18 (UserInit herstellen)
B41–B50 (shell-herstel)
B61–B65 (update-herstel)
Terug naar Index B:
B01 – Index B
Jacks pc oplossingen is gemaakt in samenwerking met Microsoft Copilot.