上个月我的电脑突然变得卡顿，打开任务管理器一看，CPU占用飙到100%，但奇怪的是，只看到几个系统进程各占不到10%。我尝试结束可疑进程，但过一会儿卡顿又回来。后来我用了更专业的工具，才发现背后有隐藏的挖矿程序伪装成系统服务。今天分享我的实测排查过程。
第一步：使用Windows自带资源监视器。按下Win+R输入perfmon /res打开，切换到“CPU”选项卡，按“平均CPU”排序。这里能显示更多细节进程，包括那些被任务管理器忽略的。我注意到一个名为svchost.exe的进程看似正常，但子进程里有奇怪的外连IP。右键“分析等待链”还能看到它占用大量CPU时间片。
第二步：借助Process Explorer深度扫描。下载微软官方工具Procexp64.exe，以管理员运行。找到系统进程列表，右键可疑进程选择“检查Virustotal”快速鉴定。我的案例里，一个伪装成“TrustedInstaller.exe”的进程实际路径在Temp文件夹下，签名无效。直接终止并清除注册表残余后，CPU占用立刻降到5%。
第三步：建立持续监控。我用任务计划程序创建了一个触发条件，当CPU占用超过80%持续30秒时，自动记录进程快照。这样下次卡顿就能锁定真凶。实测一周，再没遇到类似问题。如果你也遇到CPU莫名100%但任务管理器看不到明显占用，试试这套组合拳。
问：为什么任务管理器经常看不到高占用进程？
答：很多恶意进程会以系统权限运行，并在任务管理器进程列表中隐藏或显示为无害名称。它们可能附加到svchost.exe或系统空闲进程上。需要使用资源监视器或第三方工具（如Process Explorer）才能看到详细子进程和实际CPU消耗。
问：CPU占用忽高忽低，怎么捕捉短暂的高峰？
答：在资源监视器里开启“CPU”选项卡的历史图，观察峰值时间。或者用Process Explorer的“进程监视”功能，设定CPU阈值，当超过时自动高亮。我实测用Performance Monitor创建数据收集器集，能记录30秒内的快照，精确锁定波动源。
问：如何区分正常系统进程和伪装进程？
答：首先看进程路径，正常系统进程在C:\Windows\System32或C:\Windows\SysWOW64下。其次查看数字签名，右键属性里应有Microsoft Corporation等可信签名。最后检查网络连接，用资源监视器看该进程是否持续向陌生IP发数据。我那次就是发现一个所谓的“系统核心”进程连接到了国外矿池。
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 2305938578@qq.com 举报，一经查实，本站将立刻删除，本文链接：https://www.spubm.cn/70969.html
