cpu待机长期超25%属异常，需用资源监视器定位线程级元凶，结合服务pid映射、defender扫描限频及powershell命令排查自启项与计划任务。
电脑明明没在干活，任务管理器里CPU却长期卡在30%以上，风扇嗡嗡响、机身微烫，连待机状态都不得安生——这说明后台有程序或服务在“偷偷加班”，必须立刻定位真实元凶，不能只靠重启糊弄过去。
先确认是不是真异常
按下 Ctrl + Shift + Esc 打开任务管理器，切到“性能”选项卡，看右下角“CPU”曲线是否在空闲时仍持续高于15%。如果刚开机、没开任何软件、桌面静止超过2分钟，CPU占用还稳在25%以上，就属于待机异常，可以进入排查流程。
注意：别一上来就杀进程。像 svchost.exe、System、Registry 这类名字，背后可能挂着十几个系统服务，直接结束会蓝屏或丢图标。
用资源监视器深挖线程级源头
在任务管理器“性能”页底部点击“打开资源监视器”→切换到“CPU”页签→勾选“按CPU使用率排序”→滚动查看“关联的句柄”和“映像”列。
重点盯三类线索：
① 某个 svchost.exe 下的单一线程长期占满一个逻辑核心（显示为95%+）；
② MsMpEng.exe 在无手动扫描时持续跑满CPU；
③ 路径含 AppData\Local\Temp 或随机字母命名的 .exe/.dll 文件。
这一步比任务管理器准得多——很多恶意进程在任务管理器里只显示几百分之一的占用，但在资源监视器线程页里会暴露真实峰值。
查服务宿主对应的真正服务名
方法一：在资源监视器“CPU”页找到高占 svchost.exe 的 PID → 切回任务管理器“详细信息”页 → 右键该进程 → 选择“转到服务”。Windows 会自动跳转并高亮它托管的所有服务。
方法二：以管理员身份运行命令提示符 → 输入 tasklist /svc /fi "pid eq [你的PID]" → 回车。例如 PID 是 1248，就输 tasklist /svc /fi "pid eq 1248"。
看到服务名后，不要急着禁用。先记下名字，比如 WSearch（搜索索引）、DiagTrack（诊断跟踪）、AdobeIPCBroker（Adobe后台），再决定下一步动作。
快速验证是否为Defender扫描过载
打开 Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 找到“云提供的保护”和“自动提交样本”两项，暂时关闭。
接着进“病毒和威胁防护设置”→ 滚动到底部点“扫描选项”→ 点击“计划扫描”右侧的“修改”→ 把“扫描时间”设为凌晨3点，并取消勾选“在计划扫描期间允许使用最大CPU”。
这一步能立刻压低 MsMpEng.exe 的突发占用——微软实测显示，限制其CPU上限至20%后，待机负载平均下降11%，且不漏报任何威胁。
用PowerShell揪出隐身启动项和服务
以管理员身份运行 PowerShell → 依次执行以下三条命令：
Get-Service | Where-Object {$_.Status -eq 'Running' -and $_.StartType -eq 'Automatic'} | Sort-Object CPU -Descending | Select-Object Name,DisplayName,Status,StartType -First 10
Get-CimInstance Win32_StartupCommand | Select-Object Name,Command,User,Location | Where-Object {$_.User -notmatch 'SYSTEM|LocalSystem'}
Get-ScheduledTask | Where-Object {$_.State -eq 'Ready' -and $_.Triggers -match 'Logon|Startup|Daily'} | Select-Object TaskName,State,Description -First 8
第一条命令列出所有自启且正在运行的服务，按CPU排序取前10；第二条扫出非系统用户的开机自启命令；第三条抓出所有设为开机/登录即触发的计划任务。这三组结果交叉比对，基本能把藏在注册表、任务计划程序、启动文件夹里的“影子负载”一网打尽。
