CPU长期95%以上且无业务关联即异常；需查进程名与发布者、数字签名、路径及创建时间，svchost.exe要追溯其服务，结束任务后再生即为恶意程序。
当你在任务管理器里看到CPU占用率长期卡在95%以上、鼠标卡顿、程序无响应，第一反应不是立刻点“结束任务”，而是先确认这个高占用是否真的异常——因为Windows系统本身就会在空闲时把CPU让给后台服务预热，【真正的异常是持续性、无业务关联、且无法解释的满载】。
看进程名与发布者是否可信
在任务管理器「进程」选项卡中，点击「CPU」列两次排序，让最高占用排在最顶。重点看前3个进程的「名称」和「发布者」两栏：如果名称是 chrome.exe、WeChat.exe、msedge.exe 等常见软件，但「发布者」为空或显示「未知」，大概率是伪装进程；若名称为 svchost.exe、winlogon.exe、csrss.exe 等系统进程，且发布者为「Microsoft Corporation」，则需进一步验证，不能直接结束。
右键该进程→「属性」→切换到「数字签名」选项卡：若提示「此文件没有有效的数字签名」，或签名状态为「Unknown」，基本可判定为未授权程序。
查路径与运行时间是否合理
方法一：右键可疑进程→「打开文件所在位置」。如果路径落在 C:\Users\[用户名]\AppData\Local\Temp\、C:\ProgramData\RandomFolder\ 或根目录下带随机字符的文件夹（如 C:\7x8q2k4d\），立即标记为高危——正常软件绝不会把主程序放在这里。
方法二：切换到「详细信息」选项卡，右键列标题→勾选「创建时间」。观察高占用进程的创建时间：如果它是5分钟前刚启动，而你并未手动运行任何新程序，且CPU从那一刻起陡升，这就是关键线索。
【注意：explorer.exe 若创建时间早于系统启动时间，说明它被劫持重拉起过，极可能已中毒】
盯住svchost.exe背后的服务
svchost.exe 本身不是问题，它只是服务宿主。真正要查的是它加载了什么服务：
第一步：在「详细信息」选项卡中，右键高占用的 svchost.exe →「转到服务」。会自动跳转到「服务」选项卡，并高亮它承载的所有服务。
第二步：逐一检查这些服务的「状态」和「启动类型」。若发现「Windows Update (wuauserv)」正在「正在运行」且已持续10分钟以上，而你没手动触发更新，就属于异常；若「SysMain」（原Superfetch）在机械硬盘上长期占CPU，也属配置失当。
第三步：对准可疑服务，右键→「属性」→看「可执行文件路径」：若指向 C:\Windows\System32\svchost.exe -k netsvcs -s wuauserv 是正常的；若出现 -k LocalServiceNetworkRestricted -s unknownsvc 就得警惕。
观察结束后的再生行为
① 右键可疑进程→「结束任务」。
② 立即盯住任务管理器「进程」列表顶部5秒：若同一进程名（如 updatemgr.exe）或相似名（如 update_helper.exe、updater_service.exe）立刻重新出现，基本确认为恶意程序自拉起。
③ 此时不要反复结束，马上切到「启动」选项卡，按「影响程度」排序，禁用所有发布者为「未知」、路径含 Temp 或 Random 字样的启动项。
