任务管理器里躺着十几个 svchost.exe，其中一个把 CPU 吃到 30%，风扇一直转。搜一下，满屏都是「svchost.exe 专杀」的下载页，随手按了个 exe，装完浏览器主页被改成了陌生导航站。

先给结论：svchost.exe 是 Windows 的服务宿主进程，一个进程里托管好几个系统服务，出现十几个属于正常。要判断的是它加载了什么，而不是名字本身。

三步分辨正常与异常

第一步看位置。右键进程，打开文件所在位置，正常的在系统盘的 Windows 目录下 System32 文件夹里。如果指向 Temp、AppData 或者某个名字很像的目录，基本就有问题。

第二步看命令行。以管理员身份打开命令提示符，执行 tasklist /svc，能看到每个 svchost 托管了哪些服务。出现一串随机字母的服务名，值得留意。

第三步看签名。文件属性里的数字签名，发布者正常是 Microsoft Windows。签名缺失，或者签名者是个没听过的公司，先断网再说。

名字相近的李鬼

svch0st.exe、scvhost.exe、svchost.com 这类写法，和正主只差一个字符，肉眼容易滑过去。更麻烦的一种是注入：病毒钻进真正的 svchost 里运行，进程名完全正常，只能靠行为判断，比如无故联网、磁盘持续读写、CPU 长期满载。

比专杀更靠谱的处理

系统自带的 Defender 做一次全盘扫描，再跑一遍脱机扫描，常见木马能清掉大半。之后看服务列表，把来源不明的服务停掉并改成手动启动。怀疑系统文件被替换，用系统文件检查器扫一遍。

网上那些专杀工具，多数是十几年前的东西改个名重新打包。它们常年要求关闭杀毒软件、授予管理员权限，捆绑的推广程序比病毒还难卸载，等于自己把门打开。

真中了招，重装往往比反复查杀省时间。数据先拷到移动硬盘，重装完再逐项恢复。这句不太好听，但比在几个来路不明的工具之间来回试要快得多。