病毒程序极可能是幕后黑手，需通过任务管理器按CPU降序排序锁定可疑进程，再交叉验证路径（是否在System32或Program Files）、数字签名（是否为Microsoft Windows签发）、服务关联（svchost.exe承载的是否为未知服务）及再生行为（结束是否立即重现）。
当任务管理器中CPU持续占用超过70%且无对应大型软件运行，风扇狂转、系统卡顿却查不到明确原因时，病毒程序极可能是幕后黑手。此时不能只看进程名称，必须交叉验证文件路径、签名状态、服务关联与再生行为。
锁定可疑高占用进程
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到「进程」选项卡 → 点击「CPU」列两次，确保按降序排列 → 重点关注：CPU长期＞60%但你未启动任何相关程序；进程名含随机字符（如k9v2x.exe）、拼写仿冒系统进程（如csrsss.exe）；「发布者」显示「未知」或为空；进程状态为「无响应」但CPU仍在飙升。
这一步不能只靠排序就下结论——很多病毒会伪装成“Windows Shell Experience Host”或“Runtime Broker”，名字看着正经，实则路径藏在AppData里。
验证进程真实身份
方法一：右键可疑进程 → 「打开文件所在位置」→ 观察路径：【合法系统进程只应在 C:\Windows\System32\ 或 C:\Program Files\ 下】；若指向 C:\Users\XXX\AppData\Local\Temp\、C:\ProgramData\RandomFolder\ 等位置，基本可判定为恶意程序。
方法二：右键同一进程 → 「属性」→ 切换到「数字签名」选项卡 → 查看签发者：【微软官方进程必显示「Microsoft Windows」，且状态为「此文件具有有效的数字签名」】；若提示「此文件没有有效的数字签名」或签发者为「Unknown」、「N/A」，即为未授权程序。
注意：svchost.exe 是合法宿主进程，但恶意代码常注入其中。务必结合路径和签名双重验证，单看名称毫无意义。
检查服务关联与再生行为
第一步：在任务管理器「详细信息」选项卡中，右键高占用的 svchost.exe → 「转到服务」→ 查看它承载的服务列表。若关联的是描述模糊（如“SysUpdateService”）、厂商未知、或系统默认不启用的服务，立即标记为可疑。
第二步：右键该 svchost.exe → 「打开文件所在位置」→ 确认路径是否为 C:\Windows\System32\svchost.exe。【任何其他路径（如 C:\Windows\Temp\svchost.exe）都是伪造】
第三步：结束该可疑进程 → 紧盯任务管理器 8 秒钟 → 若同一进程名立刻重现，或变更为相似名称（如 updater.exe → update_helper.exe），基本确认为具备自拉起能力的病毒程序。
第四步：立即切换到「启动」选项卡 → 按「影响程度」排序 → 禁用所有非必要启动项 → 重启后观察 CPU 占用是否回落。若重启后异常再现，说明病毒已深度驻留。
