任务管理器是排查恶意软件引发CPU异常占用最直接有效的第一道工具，需按CPU排序锁定可疑进程，再通过路径、数字签名、服务关联及再生行为四步交叉验证。
任务管理器是排查恶意软件引发cpu异常占用最直接、最有效的第一道工具。它不需要安装额外软件，能实时反映进程行为，关键在于“看什么”和“怎么验证”。
一、快速排序锁定可疑目标
按 Ctrl + Shift + Esc 打开任务管理器，切换到「进程」选项卡。点击顶部「CPU」列两次，确保按降序排列（从高到低）。重点关注以下特征：
- CPU持续高于60%且你并未主动运行对应程序（如没开视频却显示WeChat.exe占85%）
- 进程名称为随机字符串（如xqj2k9.exe、svchosts.exe）、拼写刻意模仿系统进程（如wuauservv.exe）
- 「发布者」字段为空或显示「未知」
- 状态栏显示「无响应」但CPU仍居高不下
二、验证进程身份：路径+签名缺一不可
单靠名称容易被伪装，必须交叉验证文件真实来源：
- 右键可疑进程 → 选择「打开文件所在位置」：合法系统进程只应在 C:\Windows\System32\ 或 C:\Program Files\ 下；若指向 C:\Users\XXX\AppData\Local\Temp\、C:\ProgramData\ 下的随机文件夹，基本可判定为恶意程序
- 返回任务管理器，右键同一进程 → 「属性」→ 切换到「数字签名」选项卡：正常微软进程必有有效签名，签发者为「Microsoft Windows」；若提示「此文件没有有效的数字签名」或签发者为「Unknown」，即为未授权程序
三、警惕伪装成系统服务的 svchost.exe
svchost.exe 本身是合法宿主，但恶意代码常注入其中或伪造同名进程：
- 在「详细信息」选项卡中，右键高占用的 svchost.exe → 「转到服务」：查看它实际承载哪些服务。若关联的是冷门、描述模糊或厂商未知的服务（如SysUpdateService），需重点怀疑
- 右键该 svchost.exe → 「打开文件所在位置」：确认路径是否为 C:\Windows\System32\svchost.exe。任何其他路径（如 C:\Windows\Temp\svchost.exe）都是伪造
- 以管理员身份运行命令提示符，输入：tasklist /svc /fi "pid eq [此处填PID]"（PID可在「详细信息」页右键列标题勾选「PID」后看到），核对服务名是否真实存在、是否与系统功能匹配
四、结束进程后观察再生行为
恶意软件常具备自拉起能力，单纯结束任务只是临时缓解：
- 结束可疑进程后，紧盯任务管理器5–10秒：若同一进程名或相似名称（如从updater.exe变成update_helper.exe）立刻重新出现，基本确认为恶意程序
- 立即切换到「启动」选项卡，按「影响程度」排序，禁用所有发布者为「未知」或路径异常的启动项
- 按 Win + R 输入 taskschd.msc，检查「任务计划程序库」中是否有名称可疑、触发条件为「登录时」「空闲时」或「每分钟运行」的计划任务
