svchost.exe等进程若路径不在C:\Windows\System32\或SysWOW64\下，且无Microsoft有效签名，则极可能为恶意程序；应立即结束任务、重命名删除非法文件、清理启动项并全盘扫描。
当你在任务管理器里看到一个叫 svchost.exe、wuauserv.exe 或 ntoskrnl.exe 的进程长期霸占 30% 以上 CPU，但右键“打开文件所在位置”后跳转到的却是 C:\Users\XXX\AppData\Local\Temp\ 这类非系统路径时，它大概率不是系统进程，而是伪装成系统服务的恶意程序——这类程序专挑信任度高的名字，骗过你的眼睛。
第一步：用任务管理器快速筛出可疑进程
按 Ctrl+Shift+Esc 打开任务管理器 → 切换到「进程」选项卡 → 点击顶部「CPU」列标题排序，让高占用进程排在最上面。
重点盯三类：名称像系统进程但发布者显示“未知”或空白；进程名含随机字符（如 qwe123svc.exe）；多个同名进程（如七八个 svchost.exe）中只有一个 CPU 占用异常突出。
右键该进程 → 选择「打开文件所在位置」。如果弹出提示“此文件位于另一磁盘上”，或者路径明显不在 C:\Windows\System32\ 或 C:\Windows\SysWOW64\ 下，【立刻停止操作，不要点开任何文件】。
第二步：验证进程真实身份的两种硬核方法
方法一：通过数字签名确认合法性
右键可疑进程 → 「属性」→ 「数字签名」选项卡。正常系统进程必有 Microsoft Corporation 签名，且状态为“此数字签名正常”。若显示“未签名”“签名已损坏”或签发者是陌生公司名（如 “TechSoft Ltd.”），基本可判定为伪造。
方法二：用命令行查原始路径与PID映射
以管理员身份运行 PowerShell → 输入：Get-Process -Id [PID号] | Select-Object ProcessName,Path,Id
把方括号里的 PID 替换成你在任务管理器「详细信息」选项卡里看到的对应数值。这条命令绕过图形界面干扰，直接读取内核级路径记录，比右键跳转更可靠。
第三步：定位并终止伪装进程的实操路径
第一步：在任务管理器「详细信息」选项卡中，找到该进程对应的 PID 行 → 右键 → 「结束任务」。
第二步：立即打开文件资源管理器，导航至刚才发现的非法路径（比如 C:\Users\Alice\AppData\Roaming\update\）→ 找到同名 .exe 文件 → 【先重命名后删除，例如改为 xxx.exe.bak】。这一步防止某些木马带自保护机制，直接删会触发异常重启或弹窗阻拦。
第三步：按下 Win+R → 输入 shell:startup 回车 → 检查「启动」文件夹里是否有同名或相似名称的快捷方式或脚本 → 一并移除。
第四步：打开 Windows 安全中心 → 「病毒和威胁防护」→ 「快速扫描」。伪装进程常伴随持久化组件，扫描能揪出注册表启动项或隐藏服务。
