应立即验证该进程安全性：先查发布者是否为“microsoft corporation”等可信厂商，再核对进程名是否标准（如无数字替换）、路径是否在system32或program files下，接着检查数字签名是否由“microsoft windows”签发且状态正常，最后用资源监视器分析线程行为及服务关联，必要时用process explorer查看堆栈调用链确认是否被远程注入。
电脑在空闲状态下CPU持续占用过高，任务管理器里却冒出一个名称陌生、发布者为空或显示“未知”的进程，你点开属性又看不出端倪——这种情况下不能直接结束任务，也不能放任不管，必须快速验证它是否安全。
先看发布者和进程名是否可信
在任务管理器「启动」或「进程」选项卡中，找到该未知进程，重点盯住两列：【发布者】 和 【名称】。发布者为“Microsoft Corporation”“Google LLC”“Intel Corporation”等真实厂商，基本可信任；若显示“未知发布者”“无法验证”或一串乱码（如“User_7X9”），立刻提高警惕。
再细看进程名：系统合法进程如 svchost.exe、conhost.exe、dllhost.exe 全是标准拼写、无数字替换、无特殊符号；而仿冒进程常把 l 写成 1（services.exe → serv1ces.exe）、o 写成 0（explorer.exe → expl0rer.exe），或用随机字符串（qz8m2x.exe）。这类名称基本可判定为恶意伪装。
查文件路径与数字签名
右键该进程 → 选择「打开文件所在位置」。
合法系统进程只应存在于 C:\Windows\System32\、C:\Windows\SysWOW64\ 或 C:\Program Files\（含子目录）下；若路径指向 C:\Users\XXX\AppData\Local\Temp\、C:\ProgramData\RandomFolder\ 或根目录下的孤立 .exe，【基本可确认为恶意程序】。
返回任务管理器，右键同一进程 → 「属性」→ 切换到「数字签名」选项卡。微软签名必须显示“此文件已由 Microsoft Windows 发布”，且状态为“此文件的数字签名正常”。若提示“此文件没有有效的数字签名”或签发者为“Unknown”，说明它未经微软认证，不可信。
用资源监视器看线程行为
按 Ctrl + Shift + Esc 打开任务管理器 → 点击底部「打开资源监视器」→ 切换到「CPU」页签。
在「关联的句柄」或「进程」列表中找到该未知进程，展开查看它的所有线程。重点关注：是否有线程 CPU 时间占比长期 >50%，且「状态」列为“运行中”但「上下文切换/秒」数值异常高（如 >10000）；若有，说明它正在高频抢占调度器，不是正常软件行为。
右键该线程 → 「分析等待链」。如果等待对象是“Unknown”“Device\HarddiskVolumeShadowCopy”或一堆无法解析的地址，大概率是注入型恶意代码在绕过检测。
验证是否关联可疑服务
第一步：在任务管理器「详细信息」选项卡中，右键该进程 → 「转到服务」。
第二步：查看弹出的服务列表。若服务名生僻（如“UpdateHelperSrv”“SysGuardCore”）、描述为空、厂商未知，或服务状态为“正在运行”但从未手动启用过，需标记为高风险。
第三步：以管理员身份运行命令提示符，输入：tasklist /svc /fi "pid eq [此处填该进程PID]"（PID 可在「详细信息」页右键列标题勾选「PID」后看到）。核对输出的服务名是否真实存在于 services.msc 中，是否存在同名但路径不同的服务实例——存在即为典型服务劫持。
用Process Explorer做最终确认
方法一：下载微软官方 Process Explorer（官网 sysinternals.com），无需安装，解压即用。
方法二：运行后按 Ctrl + F 搜索该进程名 → 双击打开属性 → 查看「Image」标签页中的完整路径、「Security」标签页中的用户权限、「Threads」标签页中各线程的堆栈调用。
若堆栈中出现大量 “ntdll.dll!NtCreateThreadEx” 后紧跟 “kernel32.dll!CreateRemoteThread”，或调用链里混有“chrome_child.dll”“discord_rpc.dll”等与当前进程无关的模块，【说明已被远程注入或挂钩】，应立即终止并全盘杀毒。
