若svchost.exe路径非system32或syswow64目录，或数字签名无效/缺失，则极可能是恶意仿冒进程；需通过任务管理器属性、打开文件位置及powershell签名验证三步确认。
当你在任务管理器中看到多个 svchost.exe 进程，其中某个 CPU 或内存占用异常偏高，又不在 System32 或 SysWOW64 目录下，就极可能是恶意程序伪装成系统服务宿主进程在后台运行。必须立即验证其真实磁盘路径与签名有效性。
通过任务管理器属性查看进程位置
1、按下 Ctrl + Shift + Esc 打开任务管理器，切换到“详细信息”选项卡。
2、找到可疑的 svchost.exe 进程，右键→选择“属性”。
3、在弹出窗口的“常规”选项卡中，直接查看【位置】字段显示的完整路径——若不是 C:\Windows\System32\svchost.exe 或 C:\Windows\SysWOW64\svchost.exe，则基本可判定为仿冒进程。
4、此时不要关闭窗口，点击“数字签名”选项卡：如果该选项卡为空，或存在签名但签发者不是“Microsoft Windows”，或状态提示“此数字签名无效”，都说明文件已被篡改或根本未签名。
用“打开文件所在位置”快速跳转验证
方法一：右键直达资源管理器
1、在任务管理器“详细信息”页中，右键可疑 svchost.exe 进程。
2、选择“打开文件所在的位置”。
3、若资源管理器弹出并高亮一个非系统目录下的 svchost.exe（例如 C:\Users\Public\svchost.exe 或 C:\Temp\svchost.exe），这就是铁证——【系统 svchost.exe 绝不会出现在用户目录或临时文件夹】。
方法二：路径栏手动核对
资源管理器打开后，直接看地址栏：只要路径中包含 Users、AppData、Downloads、Temp、Program Files (x86) 以外的任意自定义文件夹，即可确认为恶意副本。
用命令行强制校验真实路径与签名
第一步：获取进程完整启动命令行
1、在任务管理器“详细信息”页，右键列标题（如“名称”）→“选择列”→勾选“命令行”→确定。
2、找到可疑 svchost.exe 行，观察“命令行”列内容：若显示类似 "C:\fake\svchost.exe -k netsvcs" 或路径明显异常，无需再查，直接标记为风险进程。
第二步：用 PowerShell 验证签名状态
1、以管理员身份运行 Windows PowerShell。
2、执行以下命令（将路径替换为你在上一步中看到的真实路径）：
Get-AuthenticodeSignature "C:\fake\svchost.exe" | Select-Object Status, SignerCertificate
3、若返回 Status 为 NotSigned 或 UnknownError，或 SignerCertificate 的 Subject 字段不含 "CN=Microsoft Windows"，则该文件【不具备合法微软签名，不可信任】。
