win7 频繁蓝屏，System32\drivers\tcpgpm.sys 是什么驱动，蓝屏老指向这个文件

Question

win7频繁蓝屏，电脑是联想扬天的品牌机，显卡、网卡都是集成的，打印网页上面的东西、下载网页上的东西时比较容易蓝屏，奇怪的是拔掉网线后蓝屏现象消失了，运行大的程序、游戏什么的都没问题
硬件应该没什么问题，内存也没什么问题，换一块新硬盘做个win7系统装上，没有发现频繁蓝屏的现象
下面是DMP详细信息Microsoft (R) Windows Debugger Version 6.12.0002.633 X86
Copyright (c) Microsoft Corporation. All rights reserved.
Loading Dump File [C:\Windows\MEMORY.DMP]
Kernel Summary Dump File: Only kernel address space is availableSymbol search path is: SRV*c:\temp*http://msdl.microsoft.com/download/symbols
Executable search path is: 
Windows 7 Kernel Version 7601 (Service Pack 1) MP (4 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS Personal
Built by: 7601.18247.amd64fre.win7sp1_gdr.130828-1532
Machine Name:
Kernel base = 0xfffff800`0525d000 PsLoadedModuleList = 0xfffff800`054a06d0
Debug session time: Tue May 23 08:51:01.295 2017 (UTC + 8:00)
System Uptime: 0 days 0:08:29.513
Loading Kernel Symbols
...............................................................
................................................................
..............................
Loading User Symbols
PEB is paged out (Peb.Ldr = 000007ff`fffdb018).  Type ".hh dbgerr001" for details
Loading unloaded module list
.........
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************Use !analyze -v to get detailed debugging information.BugCheck 50, {fffff88007a0f000, 0, fffff8800601b63a, 0}*** ERROR: Module load completed but symbols could not be loaded for tcpgpm.SYS
Probably caused by : tcpgpm.SYS ( tcpgpm+163a )Followup: MachineOwner
---------0: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************PAGE_FAULT_IN_NONPAGED_AREA (50)
Invalid system memory was referenced.  This cannot be protected by try-except,
it must be protected by a Probe.  Typically the address is just plain bad or it
is pointing at freed memory.
Arguments:
Arg1: fffff88007a0f000, memory referenced.
Arg2: 0000000000000000, value 0 = read operation, 1 = write operation.
Arg3: fffff8800601b63a, If non-zero, the instruction address which referenced the bad memory
address.
Arg4: 0000000000000000, (reserved)Debugging Details:
------------------
READ_ADDRESS:  fffff88007a0f000 FAULTING_IP: 
tcpgpm+163a
fffff880`0601b63a 478a0c23        mov     r9b,byte ptr [r11+r12]MM_INTERNAL_CODE:  0IMAGE_NAME:  tcpgpm.SYSDEBUG_FLR_IMAGE_TIMESTAMP:  58ec9484MODULE_NAME: tcpgpmFAULTING_MODULE: fffff8800601a000 tcpgpmDEFAULT_BUCKET_ID:  VISTA_DRIVER_FAULTBUGCHECK_STR:  0x50PROCESS_NAME:  spoolsv.exeCURRENT_IRQL:  0TRAP_FRAME:  fffff8800a680850 -- (.trap 0xfffff8800a680850)
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000000000031 rbx=0000000000000000 rcx=0000000000000072
rdx=0000000000000001 rsi=0000000000000000 rdi=0000000000000000
rip=fffff8800601b63a rsp=fffff8800a6809e0 rbp=0000000000000934
 r8=fffffa800805c890  r9=ffffffffffffff00 r10=0000000000000001
r11=0000000000000934 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0         nv up ei pl nz ac po nc
tcpgpm+0x163a:
fffff880`0601b63a 478a0c23        mov     r9b,byte ptr [r11+r12] ds:f230:0934=??
Resetting default scopeLAST_CONTROL_TRANSFER:  from fffff80005350bf0 to fffff800052d2bc0STACK_TEXT:  
fffff880`0a6806e8 fffff800`05350bf0 : 00000000`00000050 fffff880`07a0f000 00000000`00000000 fffff880`0a680850 : nt!KeBugCheckEx
fffff880`0a6806f0 fffff800`052d0cee : 00000000`00000000 fffff880`07a0f000 fffffa80`070c4c00 00000000`00000017 : nt! ?? ::FNODOBFM::`string'+0x4518f
fffff880`0a680850 fffff880`0601b63a : 00000000`00000938 00000000`00000000 fffff880`07a0e6cc 00000000`00000938 : nt!KiPageFault+0x16e
fffff880`0a6809e0 fffff880`0601fffa : 00000000`00000001 00000000`00000000 fffffa80`06bf2b50 00000000`000008fc : tcpgpm+0x163a
fffff880`0a680a30 fffff880`060235a3 : fffffa80`07afd0a0 fffffa80`07afd0a0 fffffa80`0701f300 fffff880`0a680af0 : tcpgpm+0x5ffa
fffff880`0a680ab0 fffff880`06023c57 : fffff880`0651be40 fffffa80`00000938 fffffa80`00000000 00000000`00000000 : tcpgpm+0x95a3
fffff880`0a680b60 fffff880`06021e54 : fffffa80`043bb7c0 00000000`00000801 fffffa80`06f95c50 fffffa80`043bb890 : tcpgpm+0x9c57
fffff880`0a680bc0 fffff880`05c30cb8 : fffffa80`043bb8d8 fffffa80`06f84f20 fffffa80`043bb7c0 fffffa80`043bb7c0 : tcpgpm+0x7e54
fffff880`0a680bf0 fffff880`05c30b2b : fffffa80`043bb7c0 fffff800`0540743e fffff880`0a680d30 fffffa80`06b98060 : netbt!NTSend+0x240
fffff880`0a680c40 fffff880`010b2449 : fffffa80`043bb7c0 00000000`00000934 fffff880`0a680d30 fffffa80`043bb7c0 : netbt!NbtDispatchInternalCtrl+0x32
fffff880`0a680cc0 fffff880`010b7d90 : 00000000`00000934 fffffa80`07166d20 fffffa80`043bb7c0 fffffa80`071d11d0 : mrxsmb!RxCeSubmitTdiRequestNoWait+0x79
fffff880`0a680d00 fffff880`010c410f : 00000000`c000020c 00000000`00000000 00000000`10000000 fffff880`02e9d0f7 : mrxsmb!RxTdiSend+0x140
fffff880`0a680d80 fffff880`02ed5d31 : fffffa80`07166d20 fffffa80`0723e470 fffffa80`071e5920 fffff880`02ea06cc : mrxsmb!RxCeSend+0x5f
fffff880`0a680dd0 fffff880`02ed05e4 : 00000000`00000000 fffff880`02ead110 fffffa80`071d11d0 fffffa80`071e5920 : mrxsmb10!VctTranceive+0xa9
fffff880`0a680e20 fffff880`02ed4104 : fffffa80`07166d20 00000000`90000000 fffffa80`071e5920 fffff880`00000934 : mrxsmb10!SmbCeTranceive+0x2a0
fffff880`0a680ea0 fffff880`02ecf505 : fffffa80`071e5920 fffffa80`00000000 fffffa80`00000000 00000000`00000054 : mrxsmb10!SmbTransactExchangeStart+0x994
fffff880`0a680f80 fffff880`02ed33a9 : fffffa80`06e75ba0 fffffa80`0723e470 fffffa80`071e5920 fffff880`0a681090 : mrxsmb10!SmbCeInitiateExchange+0x4a1
fffff880`0a681000 fffff880`02ed355d : fffffa80`071e5920 00000000`00000000 fffffa80`041e8d38 00000000`00000001 : mrxsmb10!SmbCeSubmitTransactionRequest+0x18d
fffff880`0a681050 fffff880`02ebb1e5 : 00000000`00000828 fffff8a0`142ed108 00000000`00000000 00000000`000007ff : mrxsmb10!SmbCeTransact+0x105
fffff880`0a681130 fffff880`02eba6a1 : fffffa80`071749c0 fffff880`02ecf500 00000000`00000000 fffffa80`0723e400 : mrxsmb10!MRxSmbNamedPipeFsControl+0x7dd
fffff880`0a6812b0 fffff880`010c5592 : 00000000`00000000 fffffa80`067be870 fffff880`010c1200 00000000`00000001 : mrxsmb10!MRxSmbFsCtl+0x221
fffff880`0a6812f0 fffff880`05d26b99 : 00000000`00000006 00000000`00000001 00000000`00000103 fffff880`02ed6e24 : mrxsmb!MRxSmbFsCtl+0x92
fffff880`0a681320 fffff880`05d2c025 : 00000000`00000000 fffffa80`067be870 fffffa80`071749c0 fffff880`05d02697 : rdbss!RxLowIoSubmit+0x291
fffff880`0a681380 fffff880`05d2bc15 : fffff8a0`142ed108 fffff880`0a681580 00000000`00000000 fffff880`00000001 : rdbss!RxLowIoFsCtlShell+0x1c5
fffff880`0a6813f0 fffff880`05d04684 : fffffa80`0626f720 fffff880`0a681580 00000000`00000000 fffffa80`071749c0 : rdbss!RxCommonFileSystemControl+0xe45
fffff880`0a681540 fffff880`05d21b44 : fffffa80`067be710 fffffa80`0768e00d 00000000`067be501 fffff880`05d21b44 : rdbss!RxFsdCommonDispatch+0x870
fffff880`0a681630 fffff880`010c42cc : fffffa80`067be710 fffffa80`067be501 fffffa80`067be870 fffffa80`0768e040 : rdbss!RxFsdDispatch+0x224
fffff880`0a6816a0 fffff880`01808271 : fffffa80`07183570 fffffa80`067be710 fffffa80`079fcd90 fffff8a0`003c1660 : mrxsmb!MRxSmbFsdDispatch+0xc0
fffff880`0a6816e0 fffff880`01806138 : fffff8a0`003c1660 fffffa80`07183570 00000000`00000001 00000000`00000000 : mup!MupiCallUncProvider+0x161
fffff880`0a681750 fffff880`018079e3 : fffffa80`067be710 fffff880`0a681820 fffffa80`03dbbab0 00000000`00000000 : mup!MupStateMachine+0x128
fffff880`0a6817a0 fffff880`0120dbcf : fffffa80`067be8b8 fffffa80`07183570 fffff880`0a681800 fffff880`0a68180d : mup!MupFsControl+0x7f
fffff880`0a6817e0 fffff880`0122d95e : fffffa80`04673a90 fffffa80`0626f720 fffffa80`04673a00 fffffa80`067be710 : fltmgr!FltpLegacyProcessingAfterPreCallbacksCompleted+0x24f
fffff880`0a681870 fffff800`055ef3a7 : fffffa80`0626f720 fffff880`0a681b60 fffffa80`067be900 fffffa80`067be710 : fltmgr!FltpFsControl+0xee
fffff880`0a6818d0 fffff800`055ab992 : 00000000`00000000 00000000`000006ed 00000000`00000000 00000000`00000000 : nt!IopXxxControlFile+0x607
fffff880`0a681a00 fffff800`052d1e53 : fffff880`0a681b60 fffffa80`061259d0 00000000`00000000 00000000`00000001 : nt!NtFsControlFile+0x56
fffff880`0a681a70 00000000`76f1164a : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13
00000000`03b4e988 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x76f1164a
STACK_COMMAND:  kbFOLLOWUP_IP: 
tcpgpm+163a
fffff880`0601b63a 478a0c23        mov     r9b,byte ptr [r11+r12]SYMBOL_STACK_INDEX:  3SYMBOL_NAME:  tcpgpm+163aFOLLOWUP_NAME:  MachineOwnerFAILURE_BUCKET_ID:  X64_0x50_tcpgpm+163aBUCKET_ID:  X64_0x50_tcpgpm+163aFollowup: MachineOwner

Answer 1

Google和Bing也查不到tcpgpm.sys的任何信息但是看到了这个错误所属进程是spoolsv.exe，目前使用的是什麽浏览器？是否尝试过更换其它浏览器看故障依旧存在？打印和保存网页蓝屏的几率大是否重新安装或更新过打印驱动试试？以上推断和处理方法仅供参考，若问题解决了请及时反馈。

Answer 2

已经暂时解决了，上传virustotal有3个杀毒软件报可疑，应该是什么恶意软件，不能直接删除，进安全模式，先删除注册表项，然后unlock并在删除tcpgpm.sys这个文件，删掉后重启还会在相同目录下出现另外一个名tnipec.sys的文件，名称不同，但大小、属性和tcpgpm.sys一模一样，重复以上操作有变成Tkplgu.sys，无法根除，这个文件具有自我保护机制，用attrib -h-s去除隐藏属性，重启后还会自动加上隐藏属性，最后用WINPE启动，然后删除注册表项并删除可疑文件，重新启动电脑，蓝屏现象暂时消失，到现在没有复发。但是，这个文件究竟是什么，是什么恶意程序，到现在也没搞清楚附可疑文件压缩包，有兴趣的可以研究研究
http://pan.baidu.com/s/1qYHKOZq