### 网吧电脑一个进程致腾讯游戏全报TP错

凌晨两点，网吧网管老周盯着监控屏上第14台客户机的报错弹窗，额头冒了层细汗。这台机器从晚上十点起就怪事不断，开机后任务栏右下角图标加载到一半就卡死，任务管理器里仅仅挂着一个名为“WmiPrvSE.exe”的系统进程，内存占用稳定在282MB，CPU却每隔六秒跳到百分之九十八。凡是登录腾讯系游戏，从英雄联盟到穿越火线，无一例外，在输入账号密码后的十秒内弹出“TP初始化失败(错误码: 0x018a)”或者“TenProtect 驱动加载超时”，紧接着游戏进程被强制关闭，连崩溃日志都来不及生成。

先排除网络问题。老周把客户机从交换机的普通口换到镜像口，外网延迟从38毫秒测到42毫秒，丢包率为零，DNS解析正常，不存在路由劫持。再排除系统完整性。这台机器用的是网吧统一母盘，上周刚打过补丁，无盘系统启动时校验过镜像哈希值，和服务器上源文件完全一致。那就查安全软件。Windows Defender的实时保护在母盘阶段就被组策略禁用，第三方的火绒和360并未安装，系统服务列表里干净得不像一台营业过十二个小时的机器。

问题集中在那个孤零零的WmiPrvSE.exe上。这个进程全称Windows Management Instrumentation Provider Service，负责响应系统查询请求，正常来说任何一台Windows 10机器上都会有几个，但它不应该在游戏启动时占据如此高额度的CPU。老周打开进程的线程列表，发现里面藏着三个异常线程，线程起始地址全部指向一个名为“C:\\Windows\\System32\\wbem\\Repository\\OBJECTS.DATA”的文件区域。他把这个文件拷到U盘，放到另一台正常机器上分析，发现文件尾部多出约4MB的不可读数据块，里面反复出现字符串“0x7c9540d3”和“tprpx64.sys”。

这才是真正的元凶。tprpx64.sys是TenProtect的反作弊驱动之一，正常路径应在C:\\Program Files\\Common Files\\Tencent\\TP\\，可它被篡改后复制了一份到WMI的存储仓库里，还用了一种叫“COM句柄劫持”的手段，让系统每次查询硬件信息时都优先执行这段被污染的数据。而WMI核心服务在加载时又死死咬住这个驱动的副本，导致游戏启动时TP模块尝试与内核态驱动通信，两边握手的密钥对不上，于是抛出各种看似随机的错误码。更蹊跷的是，这只影响腾讯游戏，Steam平台上的CS2和绝地求生测试均正常，Valve反作弊系统VAC检查的是进程内存页签名，不会去查WMI仓库，所以绕过了这个坑。

修复过程倒是简单粗暴。老周把tprpx64.sys的原始版本从网盘备份里提取出来，删掉OBJECTS.DATA尾部那4MB脏数据，然后用sfc /scannow重写系统文件，最后重启客户机。整个操作耗时七分钟，再次登录英雄联盟，游戏顺利进入对局，TP错误码消失。排查根因时发现，这台机器当天下午曾有人插过U盘拷贝“加速器插件”，那个插件大概率携带了某种恶意脚本，利用WMI的持久化功能实现隐藏进程，从而躲避网吧管理系统的敏感操作告警。

这事情给所有网吧管理员提了个醒。无盘系统镜像再干净，也架不住外设物理接口带来的直接攻击。建议在日常维护中定期比对Windows\\System32\\wbem\\Repository目录的修改时间，同时给USB口启用白名单策略。至于腾讯游戏的TP报错，如果遇到批量客户机同时出现“0x018a”或“0x0310”这类代码，不妨先检查WMI相关进程的CPU占用情况，而不是盲目重装游戏或者更换系统镜像。老周后来用同样的方法处理了隔壁两家网吧的类似故障，总共找到六台机器有同样的感染迹象，对象文件全部指向那根神秘的U盘。至今没人知道那插件到底是谁做的，但从日期上推算，它在这个城市至少潜伏了两周。