必须开启“所有进程，分层显示”模式，否则系统守护进程和伪装子进程将被隐藏；再通过CPU与能耗双维度交叉验证，并检查真实路径及命名异常（如下划线、空格、Unicode混淆），最后用终端命令精准定位并kill -9终止。
当你发现Mac风扇持续狂转、某个浏览器标签页莫名卡死、或者系统偏好设置里突然多出不认识的扩展，却在活动监视器默认视图里找不到可疑进程时，恶意程序很可能已伪装成系统进程混入后台——它会刻意模仿mdnsresponder、bird或coreaudiod等合法名称，甚至使用空格、全角字符、零宽字符混淆视觉识别。
必须开启“所有进程，分层显示”模式
启动活动监视器后，默认只显示当前用户的活跃进程，系统守护进程和子线程全部被隐藏。不打开这个视图，等于关掉探照灯在雾里找老鼠。
点击顶部菜单栏【显示】→【所有进程，分层显示】。
【这是揪出伪装进程的前提，缺这步后面所有操作都白做】
此时进程列表会变成树状结构，父进程带三角箭头，点击可展开其所有子线程——那些伪装进程常以子进程形式挂靠在launchd或WindowServer下面，名字看似正常，实则路径指向/tmp或/Users/Shared。
用CPU+能耗双维度交叉锁定异常目标
单看CPU占用容易误杀系统关键服务，比如kernel_task高占用常是为压制过热，不是病毒。必须结合“能耗”标签页二次验证。
第一步：切换到“CPU”标签页，点击“% CPU”列标题一次，让最高占用者排在最顶。
第二步：切到“能耗”标签页，同样点击“能耗”列排序，找出能耗等级标为“高”且名称与CPU榜上前五高度重合的进程。
第三步：对这两个榜单共同出现的进程右键→“在访达中显示”，立刻暴露真实路径——【所有伪装进程的真实路径都不会在/Applications、/System/Library或/usr/bin下，99%藏在~/Library/Application Support/随机字符串/ 或 /private/var/folders/xx/xxx/T/】
识别三类高危命名套路
方法一：形似神不似
搜索mdnsresponder，但实际看到的是mdnsresponder_（末尾下划线）、mdnsresponser（少一个d）、mdnsresponder（中间是软连字符而非短横）。这类拼写错误是手动敲出来的破绽，系统原生进程绝不会出这种低级错误。
方法二：空格障眼法
进程名显示为coreaudiod （末尾带空格），或 loginwindow（开头带空格）。活动监视器不自动修剪首尾空格，而macOS系统进程路径严格规范，绝无空格。
方法三：Unicode混淆
名称看着像syslogd，但实际是syslogd（字母o被替换成希腊字母ο），肉眼几乎无法分辨。这时直接选中→按Command+I呼出信息面板，看“路径”字段——真实路径里会暴露出/Users/xxx/Library/LaunchAgents/com.xxx.μ0n1t0r.plist这类明显伪造的签名。
终端命令补刀：精准击杀隐藏父进程
有些恶意程序会监听活动监视器进程，一旦你点X按钮就自我fork新实例。此时需绕过图形界面，用终端直击源头。
打开终端，输入：ps aux | grep -E "(com\.[a-zA-Z0-9]+\.[a-zA-Z0-9]+|\/tmp\/[a-zA-Z0-9]+)" 回车。
这条命令会筛出所有含com.xxx.xxx格式Bundle ID或/tmp路径的进程行，其中USER列为你的用户名、COMMAND列末尾带???或[unknown]的就是典型伪装体。
记下对应PID（第一列数字），执行：kill -9 PID号 —— 这比活动监视器的“强制退出”更底层，不给任何喘息机会。
