昨天的时候一个学生让我帮他杀毒，我习惯性的那瑞星扫了一遍，习惯性的按右键打开该盘，然后非习惯性的中了病毒！
该病毒的具体表现为拦截已知的很多杀毒软件和相关清理工具的执行程序（.exe）并且感染系统，在除C盘外所有可用盘中写入autorun.inf和htocusa.exe两个文件，并在系统共享文件夹中写入pxpfern.exe和tnmgncd.exe两个文件，并隐藏这两个文件，目前的瑞星版本还无法查杀该病毒(2007年6月20日)，如果系统感染该病毒，则瑞星，KV等多种杀毒软件和辅助工具的执行程序被封闭，一旦运行这类程序，病毒会将程序调试口转接到pxpfern.exe文件，也就是病毒文件上。
我在网上查了一下，没查到相关处理办法，于是只要自己动手了。下面说一下大概清理过程。
首先，我们先用深山红叶光盘把PE启动起来，然后在工具里面指定并编辑C盘注册表，依次打开：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
会发现里面写着两个启动项，分别是pxpfern.exe和tnmgncd.exe，删除之，这样你的系统就可以正常启动了，但是先不要重启动，还有两个需要删除的东西。它们在：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
删除这里的lyload??.exe可能会有很多，也可能只有1个，但是一定要删除掉。
现在依然不要重新启动，一定要再进行一步操作，去
C:\Program Files\Common Files\Microsoft Shared\
中找刚才我说的那两个文件，记得先要从选项中把查看隐藏文件和系统文件打开。
pxpfern.exe和tnmgncd.exe没错，就是这俩斯，把他们删除掉。
然后可以放心重启了。
这个病毒目前已知不会在启动服务中驻留。万幸，不然可就又麻烦了。
重新启动后你会发现你的瑞星了，卡卡了，360安全卫士了，QQ了，都启动不了，系统总会提示找不到文件，可是那东西分明就摆在那呢。我们来进行最后一步，清理掉病毒垃圾。
放心的打开注册表编辑器吧，打开如下项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
在左边的树型结构中会看到很多熟悉的身影，比如rav.exe，再比如kav32.exe和syssafe.exe哈哈，这病毒真够流氓的。竟然收集了这么多杀毒软件的名字，果然下了一翻工夫。
注意，左边的树型结构并不完全是病毒写入的，也有很多是正常的注册信息，怎么分辨？容易！
点一下左边树型的一个支，比如360rpt.exe然后看看窗口右边是不是有一个字串键叫"debugger"的？
双击看一下里面是不是写的“C:\Program Files\Common Files\Microsoft Shared\pxpfern.exe”？咋那么眼熟？废话呀，这就是病毒体啊！这就是刚才为什么要一定先删除了那俩文件才重新启动的原因。
所有右边写着debugger并且值是pxpfern.exe的主键，全部从左边主键树中删除掉！
删除完后重新启动电脑吧，OK了！
这个病毒看起来挺猛，跟熊猫烧香一样把所有已知杀毒软件全部封锁住，但是毕竟只是个纸老虎，只要不感染EXE文件，那就好办！
如果有看不明白的请留言，真的有很多人需要帮助的话我会搞点图片来帮助学习的！
对了对了，差点忘了，这个病毒还留在其他盘里呢。
开始->运行->cmd.exe
在命令行里输入：
c:\
cd\
attrib autorun.* -h -r -s
attrib htocusa.exe -h -r -s
del autorun.inf
del htocusa.exe
d:\
cd\
attri…………
千万不要在我的电脑中用右键打开，资源管理器那项也被控制了，乖乖用命令行吧！
有几个盘清理几个盘，包括你的U盘，活动硬盘！直到你的杀毒软件可以查杀该病毒为止。

闲话少说，继续。免的一会忘了搞到哪了。
恶意（流氓）软件和插件都清理完毕后我们该开始面对一些病毒了。
如果你中的病毒是感染EXE文件的病毒，例如熊猫烧香（变种）等，那么我束手无策，你还是要去找专杀或者杀毒软件。
但是根据最近的行情看来，真正中了熊猫烧香病毒的其实并不很多，很多人都是D盘打不开啦，E盘无法访问啦等等这一系列事件。那么好，继续看下去，这会帮你解决这类问题。
最近在很多渠道听到看到了很多人民群众反映C盘或者D盘等双击打不开，总提示各种各样的错误，需要右键选打开或者干脆就弄不出来。这说明你中了自运行欺骗病毒（我自己起的名字，懒得去网上找属于什么类）和以前著名的欢乐时光病毒类似，该病毒一般会在C盘或者D盘等根目录中写入两个文件：
autorun.inf
xxxxxxxx.exe
其中autorun.inf的作用是你在用鼠标双击该盘试图打开的时候直接触发xxxxxxx.exe病毒体。造成病毒被触发，以此来感染电脑。而xxxxxxxx.exe就是病毒体，该病毒会有各种名字，无法统一归类，但是我们可以通过分析autorun.inf来找到病毒文件的具体位置和名字。这两个文件一般都携带只读，系统，隐藏这三个属性，所以一般是看不到的。
先来说明一下这类病毒的感染过程，上面简略说了一下，这里再详细说明一下：
该病毒是通过微软的磁盘自动运行机制进行感染的。首先启动计算机后系统在登录过程中扫描所有硬盘和光驱等存储设备，如果该设备的目录根中存在autorun.inf那么将autorun.inf中记录的信息保存。这样在系统登录后，操作权将交还给用户，那么用户在使用鼠标双击某个存在autorun.inf记录的磁盘的时候所执行的操作并非资源管理器默认状态下的“打开”而是经过autorun.inf重新定义过的某个操作，该操作就是运行病毒文件xxxxxxxx.exe这样你的电脑就将该病毒触发了，该病毒会在系统文件夹中写入几个相关病毒文件并将其加入到开机自动运行中，并且驻留在系统中的病毒会时刻监视所有连接到该电脑上的所有存储设备（不包括光盘驱动器）和查看隐藏文件的选项。
而这就是我们为什么使用命令行模式的原因。
把命令行窗口切换到操作状态，卡卡助手和360安全卫士可以先最小化到一边去了。
在命令行窗口进行如下操作：
c:
cd\
dir_autorun.* /a
是否看到有一个autorun.inf文件了？那么毫无疑问你中了，如果没有，那么可以关掉我的帖子睡觉了。因为下面我将针对这个病毒进行杀杀杀。
attrib_autorun.inf_-h_-r_-s
type_autorun.inf
这时命令行窗口中会显示出autorun.inf的内容，该内容最主要的部分就是一个叫做xxxxxx.exe的文件，找到这个文件删除它！在这里我们假设它在根目录下，也就是和autorun.inf在相同的目录下，且名字为tel.xls.exe。
接下来输入：
attrib_tel.xls.exe_-h_-r_-s
del_autorun.inf
del_tel.xls.exe
这样C盘就干净了。那么D盘也是如法炮制：
d:
cd\
attrib_autorun.inf_-h_-r_-s
attrib_tel.xls.exe_-h_-r_-s
del_autorun.inf
del_tel.xls.exe
E盘，F盘只要换了第一行的字母就可以了。
全部删除干净了之后呢？别忘了系统中还有驻留啊！
切换出卡卡助手，选择[系统启动项管理]选项卡并在左边的栏目中选择“登录项”如下图：

右边是描述启动项内容的窗口，该窗口中所显示的系统在启动到登录到系统过程中被加载的所有程序。
我们需要雾里看花般在这中间剔除出病毒程序，这样就算病毒在计算机内存留着，谁也不去触发它，那病毒也就是形同虚设了。
这里可以看到一些深颜色的条目，这些条目都不是WINDOWS系统的默认条目，我们可以看到有很多条目在描述栏中是没有信息的，这些条目要首先注意，再看位置中很多程序是没有图标的白框这些白框很有可能是病毒文件的一部分，这里我们的原则就是宁可错杀一千，也不错放一个，这里的东西全部删除后windows依然可以正常启动的。这里需要特别注意一点，有部分条目在位置一栏中的字母不是常规的深蓝色，而是很耀眼的红色，那么该条目请一定删除掉，因为那个条目十有八九是病毒体或者触发程序。
清理这里需要一定的经验，如果没有经验很有可能就会错误的清理掉一些必要程序，比如一些打印机驱动程序等也会在这里被显示出来，但是正常的程序一般在描述栏中都会有一些描述信息，并且在公司栏中会标注为哪个公司的产品。如果是三无产品那么就很有可能是病毒了。
注意：啥叫三无：无图标，无描述，无公司。就叫三无，基本上讲还是删掉吧。

下次讲系统服务。在讲完系统服务前请不要重新启动计算机，呵呵。