应立即按ctrl+shift+esc打开任务管理器，点击“cpu”列排序定位高占用进程，重点核查路径、数字签名及命令行参数，确认异常后精准结束任务。
当你发现电脑突然变卡、风扇狂转、鼠标拖拽像幻灯片，却没在运行大型程序，大概率是某个软件在后台偷偷把CPU吃干抹净——必须立刻揪出它，不能靠猜，也不能盲目杀进程。
用任务管理器秒级锁定高占用进程
按下 Ctrl + Shift + Esc 直接打开任务管理器，这是最快路径，比 Ctrl+Alt+Delete 多一层菜单更可靠，尤其在高负载时仍能响应。
切换到「进程」选项卡，点击顶部「CPU」列标题一次，列表立即按使用率从高到低重排——排在最顶上的那个进程，就是当前最可疑的元凶。
重点盯住三类异常：CPU持续高于60%但你根本没启动对应软件；进程状态显示「无响应」；发布者字段为空或写着「未知」。这三者只要占其一，就得立刻进入下一步验证。
交叉验证进程是否可疑
方法一：查文件真实路径
右键可疑进程 → 选择「打开文件所在位置」。合法程序只该出现在 C:\Windows\System32\、C:\Program Files\ 或你主动安装的软件目录下。如果跳转到 C:\Users\XXX\AppData\Local\Temp\ 或 C:\ProgramData\ 下的随机命名文件夹，基本可判定为恶意或捆绑软件。
方法二：验数字签名
右键同一进程 → 「属性」→ 切换到「数字签名」选项卡。微软官方进程必有有效签名，签发者显示「Microsoft Windows」；若提示「此文件没有有效的数字签名」或签发者为「Unknown」，【绝不可直接结束，先截图留证，再考虑隔离】。
方法三：看命令行参数（需切到详细信息页）
在任务管理器底部点「详细信息」选项卡 → 右键列标题 → 勾选「命令行」→ 找到该进程对应行。如果命令行里含 --type=gpu-process 或 --no-sandbox 等浏览器子进程标识，属正常；但如果出现 C:\Windows\Temp\updater.exe -silent 这类路径+参数组合，【直接右键→「结束任务」，不要犹豫】。
识别伪装成系统服务的假进程
第一步：确认是不是真 svchost.exe
右键高占用的 svchost.exe → 「打开文件所在位置」。只有路径为 C:\Windows\System32\svchost.exe 才可信。任何其他路径，比如 C:\Windows\Temp\svchost.exe，100%是伪造进程。
第二步：查它到底在跑什么服务
右键该 svchost.exe → 「转到服务」。如果关联的是描述模糊的服务（如「SysUpdateService」「WinHelperSvc」），或厂商未知、服务名带随机字符（如「wuauservv」「dwmhostx」），【立刻记下服务名，后续进 services.msc 重点排查】。
第三步：用命令行核验服务真实性
以管理员身份运行命令提示符，输入：
tasklist /svc /fi "pid eq [此处填PID]"（PID 可在「详细信息」页右键列标题勾选「PID」后看到）。对比输出的服务名是否真实存在于系统服务列表中——若服务名根本不存在，或指向已禁用/被删除的服务，基本坐实为注入型恶意行为。
