应使用process explorer定位隐藏进程：下载后以管理员身份运行，通过cpu排序、图标识别（问号图标需重点核查）、性能曲线及路径验证（非system32路径即异常）精准识别；辅以资源监视器查硬错误，powershell导出带路径的高cpu进程清单。
当任务管理器里只看到“System Idle Process”或几个常规进程，但CPU持续占用30%以上、风扇狂转、电脑发烫却找不到元凶时，说明有隐藏进程在后台偷偷吃掉计算资源——这些进程可能被恶意软件刻意隐藏，也可能由驱动、内核模块或系统服务以非标准方式启动，普通任务管理器根本无法显示其名称和占用率。
用Process Explorer定位隐藏进程及其CPU占用
这是目前Windows下唯一能同时看到隐藏进程+实时CPU曲线+完整路径+父子关系的免费工具，微软官方出品，无需安装，解压即用。
第一步：访问 https://learn.microsoft.com/en-us/sysinternals/downloads/process-explorer 下载最新版 Process Explorer（.zip包），解压后右键以管理员身份运行 procexp64.exe。
第二步：首次运行会弹出许可协议，勾选“I accept the agreement”→点击“Yes”。若提示“Windows protected your PC”，点“More info”→“Run anyway”。
第三步：顶部窗口默认按CPU使用率排序，直接观察“CPU”列数值；注意看进程名右侧是否带灰色小图标——带锁形图标的为系统级进程，带问号图标的多为无签名/路径异常进程，【这类进程CPU长期高于5%就需重点核查】。
第四步：双击任意可疑进程，弹出属性窗口，在“Performance”页签中可查看该进程过去60秒的CPU占用曲线，比任务管理器的瞬时值更可靠；切换到“Image”页签，确认“Path”是否指向 C:\Windows\System32 或微软签名路径，若指向 %AppData%\Local\Temp 或随机命名的子目录，基本可判定为异常。
用资源监视器辅助验证硬错误与真实负载
Process Explorer能看见隐藏进程，但有时它显示的CPU占用率偏高却无对应线程活动——这往往是因为进程频繁触发页面交换（硬错误），实际是内存不足导致的CPU伪高占。资源监视器能交叉验证这一点。
方法一：按下 Win + R → 输入 resmon → 回车启动资源监视器。
方法二：切换到“CPU”选项卡，勾选右上角“显示所有进程”，再点击“% CPU”列标题两次，确保按降序排列。
方法三：找到名称为 System 或 Interrupts 的条目，单击选中后，观察下方“关联的句柄”和“关联的模块”区域——如果“Interrupts”持续占用12%～18%，且“硬错误/秒”值大于30，【这不是软件进程，而是硬件中断问题，需排查驱动或物理设备】。
用PowerShell导出完整进程清单并过滤高CPU项
当需要批量分析或截图留证时，图形界面容易遗漏细节，PowerShell命令能导出带PID、用户名、CPU时间、完整路径的结构化数据，避免被进程名伪装欺骗。
第一步：右键“开始”按钮 → 选择“终端（管理员）”。
第二步：粘贴执行以下命令：
Get-Process | Where-Object { $_.CPU -gt 100 } | Select-Object Id, ProcessName, CPU, Path, UserName | Sort-Object CPU -Descending | Format-Table -AutoSize
第三步：该命令筛选出CPU累计时间超过100秒的进程（单位为毫秒级CPU时间，非实时百分比），并强制显示路径和用户。若某 svchost.exe 进程的 Path 为空或显示 Unknown，说明它极可能被注入或劫持；若 UserName 为 SYSTEM 但 Path 指向非 C:\Windows 目录，立即右键结束该PID并查杀。
