应立即通过资源监视器定位高流量进程，查看PID、命令行和数字签名识别伪装程序，再结束任务、拒绝执行权限并清理启动项以阻断盗用流量行为。
当你发现手机热点或宽带流量被莫名吃掉，电脑后台可能正运行着偷偷上传下载的软件，必须立刻定位并终止它们——不关掉这些进程，流量浪费会持续发生。
查看实时网络占用排名
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到「性能」选项卡 → 点击左下角「打开资源监视器」→ 在「网络」页签下，观察「TCP 连接」和「监听端口」列表中「发送/接收字节」数值最高的进程。
注意：资源监视器默认不显示完整路径，右键列标题 → 勾选「图像路径」，才能看清是哪个具体程序在发数据。
识别伪装成系统进程的流量大户
方法一：在资源监视器「网络」页签中，找到「PID」列对应的高流量进程 → 切换到「概述」页签 → 按 PID 排序 → 定位该进程 → 查看「命令行」列内容，【若显示为 svchost.exe 但命令行含 -k iissvcs 或 -k wuauserv，说明是 Windows 更新或 IIS 服务，非异常；若含可疑路径如 C:\Users\XXX\AppData\Local\Temp\update.exe，则立即结束】。
方法二：对可疑进程右键 → 「打开文件所在位置」→ 观察文件属性中「数字签名」是否为空或显示「无法验证」→ 签名无效的.exe文件极大概率是盗用流量的第三方工具。
强制结束指定进程并阻止自启
第一步：回到任务管理器「详细信息」页签 → 找到目标进程 → 右键 → 「结束任务」。
第二步：右键该进程 → 「属性」→ 切换到「安全」选项卡 → 点击「高级」→ 将「权限类型」改为「拒绝」→ 勾选「完全控制」→ 应用后该程序将无法再次运行（需管理员权限）。
第三步：按 Win + R 输入 shell:startup 回车 → 删除其中所有可疑快捷方式或脚本文件 → 阻断其开机自启路径。
