Page Fault In Nonpaged Area

[Rommie]

Hallo liebe Community

Ich brauch mal Eure Hilfe.
Zunächst einmal... JA ich weiß, es ist Windows 7, veraltert, nicht mehr supportet, daher gefährlich... bla blubb... davon möchte ich nichts hören.
Ich bin mir der Gefahr bewußt. Da das System jedoch nicht zum Internet-Surfen genutzt wird und nur eine Aufgabe erfüllt, ist eine Diskussion darüber mit dieser Art Trollen und Linux-Beschwörer irrelevant.
Es ist ein System zum Empfang von Wetter-Daten, welches Roh-Daten empfängt, umwandelt in Bilder und speichert und im LAN zur Weiter-Verarbeitung der Daten angeschlossen ist.

Es geht um ein Problem im scheinbar unadressierten Speicherbereich. Weiter unten habe ich zur DMP-Datei verlinkt.
Zunächst einmal zum System selber (ausgelesen von Everest Ultimate):

Computer:
Computertyp ACPI x64-based PC
Betriebssystem Microsoft Windows 7 Ultimate
OS Service Pack Service Pack 1
Internet Explorer 8.0.7601.17514
DirectX DirectX 11.0
Datum / Uhrzeit 2021-03-15 / 13:46

Motherboard:
CPU Typ DualCore Intel Core 2 Duo E8400, 3000 MHz (9 x 333)
Motherboard Name Asus P5Q (3 PCI, 2 PCI-E x1, 1 PCI-E x16, 4 DDR2 DIMM, Audio, Gigabit LAN, IEEE-1394)
Motherboard Chipsatz Intel Eaglelake P45
Arbeitsspeicher 8192 MB (DDR2-800 DDR2 SDRAM)
DIMM1: OCZ Gold XTC OCZ2G8002G 2 GB DDR2-800 DDR2 SDRAM (6-6-6-18 @ 400 MHz) (5-5-5-15 @ 333 MHz) (4-4-4-12 @ 266 MHz)
DIMM2: Samsung M3 78T5663QZ3-CF7 2 GB DDR2-800 DDR2 SDRAM (6-6-6-18 @ 400 MHz) (5-5-5-15 @ 333 MHz) (4-4-4-12 @ 266 MHz)
DIMM3: OCZ Gold XTC OCZ2G8002G 2 GB DDR2-800 DDR2 SDRAM (6-6-6-18 @ 400 MHz) (5-5-5-15 @ 333 MHz) (4-4-4-12 @ 266 MHz)
DIMM4: Samsung M3 78T5663QZ3-CF7 2 GB DDR2-800 DDR2 SDRAM (6-6-6-18 @ 400 MHz) (5-5-5-15 @ 333 MHz) (4-4-4-12 @ 266 MHz)
BIOS Typ AMI (03/11/10)
Anschlüsse (COM und LPT) Kommunikationsanschluss (COM1)

Anzeige:
Grafikkarte NVIDIA GeForce GTX 560 Ti (1024 MB)

Multimedia:
Soundkarte Realtek ALC1200 @ High Definition Audio-Controller [10DE-0E0C] [NoDB]
Soundkarte Realtek ALC1200 @ Intel 82801JB ICH10 - High Definition Audio Controller

Datenträger:
IDE Controller Standard AHCI 1.0 Serieller-ATA-Controller
IDE Controller Standard-Zweikanal-PCI-IDE-Controller
Massenspeicher Controller SoftPerfect Virtual Bus
Floppy-Laufwerk Diskettenlaufwerk
Festplatte Patriot Memory USB Device (7 GB, USB)
Festplatte WDC WD20EFRX-68EUZN0 ATA Device (1863 GB, IDE)
Optisches Laufwerk TSSTcorp CDDVDW SH-S223F ATA Device
S.M.A.R.T. Festplatten-Status OK

Partitionen:
C: (NTFS) 49899 MB (23720 MB frei)
D: (NTFS) 998 MB (760 MB frei)
E: (NTFS) 999 MB (711 MB frei)
F: (NTFS) 1813.2 GB (690.4 GB frei)
Speicherkapazität 1863.9 GB (715.0 GB frei)

Eingabegeräte:
Tastatur Standardtastatur (PS/2)
Maus Microsoft PS/2-Maus

Netzwerk:
Primäre IP-Adresse xxx.xxx.xxx.xxx
Primäre MAC-Adresse xx-xx-xx-xx-xx-xx
Netzwerkkarte Atheros AR8121/AR8113/AR8114 PCI-E Ethernet Controller (xxx.xxx.xxx.xxx)
Netzwerkkarte Virtual MPE Decoder Adapter (xxx.xxx.xxx.xxx)

Peripheriegeräte:
Drucker Samsung CLP-510 Series
USB-Geräte TBS 5927 USB DVBS/S2 BDA
USB-Geräte USB Token
USB-Geräte USB-Massenspeichergerät

-----

Dump-File:

https://webserver-2.de/ablage/031521-15600-01.dmp

-----

Für fachkundige Hilfe, was da genau zum Crash führt und wie ich das eventuell fixen kann, wäre ich sehr dankbar.

Liebe Grüße

Eure Rommie

 

[suesse18]

Habe mir Dein dump-file nicht angesehen...
Aber: Ich finde "WhoCrashed" für solche Sachen eigentlich ganz spannend, da es Dir die Daten zum Crash in verständlicher Form präsentiert...
https://www.resplendence.com/whocrashed_whatsnew
https://www.resplendence.com/download/whocrashedSetup.exe

Vielleicht hilft Dir das ja etwas weiter.
Grüße!

 

[Rommie]

Ja, danke für den Tipp. Bringt mich aber nicht weiter, da die Analsyse zu 'ntoskrnl.exe' zu allgemein gehalten wird.

Interessant ist, daß 'sfc /scannow' unter Admin-Rechten immer wieder Fehler findet und sie angeblich 'erfolgreich' beseitigen kann. Ein direkt im gleichen Ausführungsfenster erneuter Start zeigt abermals die selbe Meldung, obwohl ja eigentlich dann keine Fehler mehr vorhanden sein dürften.

MemTest (über bootfähige CD getestet) läuft problemlos durch, alles 'green'.

 

[HisN]

Was sagt denn CrystalDiskInfo über die verwendeten Massenspeicher?

 

[Inzersdorfer]

Der Bugcheck 0x50 ist meist instabiler Arbeitsspeicher, also RAM oder L2 Cache oder Videospeicher.
Im Stack-Text zu sehen: erst nt!memmove dann nt!KiPageFault

Auswertung des Minidump:

Loading Dump File [E:\HELP\Rommie\031521-15600-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available

Symbol search path is: SRV*C:\Symbols*http://msdl.microsoft.com/download/symbols
Executable search path is:
Windows 7 Kernel Version 7601 (Service Pack 1) MP (2 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 7601.23403.amd64fre.win7sp1_ldr.160325-0600
Machine Name:
Kernel base = 0xfffff800`03015000 PsLoadedModuleList = 0xfffff800`03257730
Debug session time: Mon Mar 15 13:10:06.564 2021 (UTC + 1:00)
System Uptime: 4 days 5:26:07.702
Loading Kernel Symbols
...................
Loading User Symbols
Loading unloaded module list
.........
*******************************************************************************
* Bugcheck Analysis *
*******************************************************************************
BugCheck 50, {fffffa8006e69000, 0, fffff8000307be5a, 0}
Could not read faulting driver name
Probably caused by : ks.sys ( ks!CKsFilter DispatchDeviceIoControl+92 )
Followup: MachineOwner
---------
0: kd> !analyze -v
*******************************************************************************
* Bugcheck Analysis *
*******************************************************************************
PAGE_FAULT_IN_NONPAGED_AREA (50)
Invalid system memory was referenced. This cannot be protected by try-except,
it must be protected by a Probe. Typically the address is just plain bad or it
is pointing at freed memory.
Arguments:
Arg1: fffffa8006e69000, memory referenced.
Arg2: 0000000000000000, value 0 = read operation, 1 = write operation.
Arg3: fffff8000307be5a, If non-zero, the instruction address which referenced the bad memory
address.
Arg4: 0000000000000000, (reserved)
Debugging Details:
------------------
Could not read faulting driver name

READ_ADDRESS: GetPointerFromAddress: unable to read from fffff800032c1100
fffffa8006e69000
FAULTING_IP:
nt!memmove+ca
fffff800`0307be5a 4c8b540af8 mov r10,qword ptr [rdx+rcx-8]

MM_INTERNAL_CODE: 0
CUSTOMER_CRASH_COUNT: 1
DEFAULT_BUCKET_ID: VISTA_DRIVER_FAULT
BUGCHECK_STR: 0x50
PROCESS_NAME: TBSIP-Update.e
CURRENT_IRQL: 1
IRP_ADDRESS: fffffa800962f6a8
TRAP_FRAME: fffff880090d94e0 -- (.trap 0xfffff880090d94e0)
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000100000000 rbx=0000000000000000 rcx=000000000049dc58
rdx=fffffa80069cb3ac rsi=0000000000000000 rdi=0000000000000000
rip=fffff8000307be5a rsp=fffff880090d9678 rbp=00000000a000000c
r8=0000000000000044 r9=0000000000000001 r10=000000000000008d
r11=000000000049dc14 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0 nv up ei pl nz na pe nc
nt!memmove+0xca:
fffff800`0307be5a 4c8b540af8 mov r10,qword ptr [rdx+rcx-8] ds:00ff:fffffa80`06e68ffc=????????????????
Resetting default scope
LAST_CONTROL_TRANSFER: from fffff800031021ce to fffff80003085380
STACK_TEXT:
fffff880`090d9378 fffff800`031021ce : 00000000`00000050 fffffa80`06e69000 00000000`00000000 fffff880`090d94e0 : nt!KeBugCheckEx
fffff880`090d9380 fffff800`030834ae : 00000000`00000000 fffffa80`06e69000 00000000`00000000 fffffa80`0962f720 : nt! ?? ::FNODOBFM::`string'+0x3bc2f
fffff880`090d94e0 fffff800`0307be5a : fffff800`03099d53 00000000`00000000 fffff880`090d96f0 fffffa80`0907e000 : nt!KiPageFault+0x16e
fffff880`090d9678 fffff800`03099d53 : 00000000`00000000 fffff880`090d96f0 fffffa80`0907e000 fffffa80`09083990 : nt!memmove+0xca
fffff880`090d9680 fffff800`030890ea : fffffa80`0962f720 00000000`00000001 00000000`00000001 fffffa80`06e68fc0 : nt!IopCompleteRequest+0x5a3
fffff880`090d9750 fffff880`04994cba : fffffa80`0962f720 fffffa80`0962f900 fffffa80`08f44040 00000000`00000000 : nt!IopfCompleteRequest+0x66a
fffff880`090d9840 fffff880`049907bb : fffffa80`08f44270 fffff880`056ca68c fffffa80`08f41768 00000000`00000000 : ks!CKsFilter DispatchDeviceIoControl+0x92
fffff880`090d9880 fffff880`04977560 : fffffa80`0962f9a0 fffff880`056c9a69 fffffa80`0962f720 00000000`00000000 : ks!KsDispatchIrp+0xdb
fffff880`090d98b0 fffff880`056c9825 : fffffa80`0962f958 fffffa80`08f41760 fffffa80`08f41760 fffffa80`0962f720 : ks!CKsDevice passThroughIrp+0xc0
fffff880`090d98f0 fffff800`033911cb : 00000000`00000002 fffffa80`0980ea10 00000000`00000000 00000000`00000000 : ksthunk!CKernelFilterDevice DispatchIrp+0x11d
fffff880`090d9950 fffff800`033a533a : fffffa80`0980ea10 fffffa80`0980ea10 fffffa80`0980ea10 fffff800`03203e80 : nt!IopSynchronousServiceTail+0xfb
fffff880`090d99c0 fffff800`033a53d6 : 00000000`0478e848 00000000`000003f4 00000000`00000001 00000000`0488fe14 : nt!IopXxxControlFile+0xc27
fffff880`090d9b00 fffff800`03084613 : fffffa80`0983e640 00000000`0478e7e8 fffff880`090d9b88 00000000`00000000 : nt!NtDeviceIoControlFile+0x56
fffff880`090d9b70 00000000`734e2e09 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13
00000000`0478f0f8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x734e2e09

STACK_COMMAND: kb
FOLLOWUP_IP:
ks!CKsFilter DispatchDeviceIoControl+92
fffff880`04994cba 8bc7 mov eax,edi

SYMBOL_STACK_INDEX: 6
SYMBOL_NAME: ks!CKsFilter DispatchDeviceIoControl+92
FOLLOWUP_NAME: MachineOwner
MODULE_NAME: ks
IMAGE_NAME: ks.sys
DEBUG_FLR_IMAGE_TIMESTAMP: 4ce7a3f3
FAILURE_BUCKET_ID: X64_0x50_ks!CKsFilter DispatchDeviceIoControl+92
BUCKET_ID: X64_0x50_ks!CKsFilter DispatchDeviceIoControl+92
Followup: MachineOwner

0: kd> lmvm ks
start end module name
fffff880`04976000 fffff880`049b9000 ks (pdb symbols) c:\symbols\ks.pdb

\55180135F005455BB845BEE938E68ECC2\ks.pdb
Loaded symbol image file: ks.sys
Mapped memory image file: c:\symbols\ks.sys\4CE7A3F343000\ks.sys
Image path: ks.sys
Image name: ks.sys
Timestamp: Sat Nov 20 11:33:23 2010 (4CE7A3F3)
CheckSum: 00045588
ImageSize: 00043000
File version: 6.1.7601.17514
Product version: 6.1.7601.17514
File flags: 0 (Mask 3F)
File OS: 40004 NT Win32
File type: 3.0 Driver
File date: 00000000.00000000
Translations: 0000.04b0
CompanyName: Microsoft Corporation
ProductName: Microsoft® Windows® Operating System
InternalName: ks.sys
OriginalFilename: ks.sys
ProductVersion: 6.1.7601.17514
FileVersion: 6.1.7601.17514 (win7sp1_rtm.101119-1850)
FileDescription: Kernel CSA Library
LegalCopyright: © Microsoft Corporation. All rights reserved.

Der besch..eidene Editor verhunzt wieder einmal einen Post, toll.

 

[Rommie]

Was sagt denn CrystalDiskInfo über die verwendeten Massenspeicher?

Lass den Massenspeicher ausser Acht. Das ist mein USB-Stick, der 'temporär' drin war, um CrystalDiskInfo bzw. WhoCrashed auszuführen.
Die anderen USB-Devices sind notwendig, damit der Rechner seine Arbeit macht. Das ist zum einen der DVB-S Empfänger und ein SecureKey-Dongle für die Tellicast-Software.

zu Inzersdorfer

Ähh... ja...!?
Also genau deswegen bin ich hier... Daraus werde ich nicht schlau, da ich nicht so der Profi bin. Ich gehöre mehr zur Kategorie 'erfahrener' User. Aber das ist für mich 'zu heavy'...
Vielleicht kann mir jemand erklären, was die 'ntoskrnl.exe' da triggert, damit diese abstürzt. Oder wie auch immer... 😲🤔

Edit: Ahh... sorry...
Ja, genauer hinschauen hilft. Sorry, Brille verrutscht 🤓

Das heisst also, das es nur noch die Graka oder die CPU selber sein kann?

 

[Inzersdorfer]

Die ersten beiden Sätze meines Postings...

ntoskernel.exe hat insofern damit zu tun, weil die ständig läuft, ohne die quasi kein Windows. Der letzte Prozess war eine Speicherverlagerung (memmove) dannach der Pagefault.

 

[Rommie]

Ja, habs in Vorposting nochmal editiert, da es mir dann auch aufgefallen ist.
Also bleibt nur die Grafikkarte oder die CPU selber übrig, da der RAM von mir bereits ohne Fehler getestet wurde (bootfähige CD mit MemTest).
Verdammt, ihr macht mir ja Hoffnung... 🙄

Vielen Dank für Eure Unterstützung.

 

[Inzersdorfer]

RAM testet man mit memtest86, mindestens 7 Durchgänge.

Der Pagefault kann auch von instabilem RAM kommen (overclocking/undervolting/agressive timings).

 

[HerrAbisZ]

DEFAULT_BUCKET_ID: VISTA_DRIVER_FAULT
BUGCHECK_STR: 0x50
PROCESS_NAME: TBSIP-Update.exe

Das ist von der

TBS Technologies

Was ist davon installiert ?

 

[Rommie]

Das ist von der

TBS Technologies

Was ist davon installiert ?

TBSIP-Tool Vers. 3.0.5.1

Das ist der Treiber für den TBS-5927 DVB-S-Empfänger. Der ist jedoch notwendig für den Empfang der Roh-Daten.
Aber Du schreibst 'update-exe'. Versucht der Sauhund etwa ein Update zu ziehen und schmiert dabei ab? MWenn ja, könnte ich mal schauen, wie ich ihm das austreibe... Vielleicht unter Dienste?

Zusatz-Eintrag:
Hab nach der Datei gesucht und erkannt, daß dies die Haupt-Start-Datei des Progams ist. Meine Hoffnung lag zunächst in einem untergeordneten Dienst, der von dieser Datei gestartet wird. Diesen hätte ich dann ja deaktivieren können. Dem ist aber nicht so, da auch unter 'Dienste' nichts dergleichen zu finden ist. Das Program schießt sich also von selber weg. Scheisse programmiert...

Werd wohl damit leben müssen... Pech gehabt. Wäre ja kein Problem, wenn der Rechner nach dem Neustart wenigstens alle Arbeitsprogramme automatisch wieder starten würde und da weiter macht, wo er unterbrochen wurde. Bringt aber auch nichts, da in den 'Arbeits-Fenstern' noch einmal die Verarbeitung über einen Button gestartet werden muß. Sonst hätte ich mir ja mit der 'Autostart' behelfen können... schöner Mist.

 

[Rommie]

Tja, gerade ist es wieder passiert.
Jetzt gibt es noch eine xml-Datei dazu, die erstellt wurde. 🤔
Wer ist so nett und kann sich das mal ansehen, ob es der selbe Fehler ist? Habe leider nicht die Software und Ahnung davon.
Bisher habt ihr mich ja schon auf eine heisse Spur gebracht. Danke noch einmal...

Die neue Dump-Datei:
https://webserver-2.de/ablage/crash/031521-16785-01.dmp

XML-Datei: 🤔
https://webserver-2.de/ablage/crash/WER-31605-0.sysdata.xml

 

[HerrAbisZ]

umbus.sys wird genannt

Hast du auch nach Malware und Adware schon suchen lassen ?

Bitte nicht blind dann auf "Löschen" klicken. - Das LOG genauer Prüfen

https://de.malwarebytes.com/adwcleaner/

https://de.malwarebytes.com/

https://de.malwarebytes.com/junkwareremovaltool/ Wartung eingestellt 26.10.2017

Damit kann man auch einen offline Scan machen
https://support.kaspersky.com/de/viruses/krd2018

https://support.kaspersky.com/de/14226

 

[Rommie]

Der Rechner war bisher kaum im Netz. Lediglich zur Kommunikation mit dem EUMETSAT-Acc. Als Schutz habe ich die MS Security Essentials mit entsprechend aktuellen Definitionen am laufen.
Im Netz habe ich eine neue Version von TBS-IP-Tool in Vers. 3.0.5.5 gefunden und installiert (Install-Datum: 16.03.2021).
Bis jetzt läuft der Rechner ohne Probleme. Vielleicht lag es an der Software, da laut Deiner Auswertung der DMP-Datei ja diese scheinbar dafür verantwortlich war.
Sollte es wieder zum BSOD kommen, melde ich mich in diesem Thread mit entsprechender DMP-Datei wieder.
Danke zunächst für die Unterstützung.

 

[Rommie]

Es ist zum kotzen...

Wieder ein Absturz in Abwesenheit.
Diesesmal sogar gleich zweimal nacheinander.

Das interessante ist, daß es immer andere Dateien sind. Mal die umbus.sys, ndis.sys, drmk.sys, MSPQM.sys,etc...
Die einzige Gemeinsamkeit ist, daß immer die ntoskrnl.exe dabei ist. Dies lässt nur den Schluß zu, daß diese Datei einen knacks haben muß. Die Frage ist nun, wie man diese Datei repariert, da es sich dummerweise auch noch um die Kern-Datei von Windows handelt.
sfc /scannow bringt ja scheinbar nix...
Vermutlich komme ich wohl nicht um eine komplette Neuinstallation herum.
Habt Ihr noch eine Lösung?

 

[HerrAbisZ]

Hast du irgendein Verschlimmbesserungstool a la TuneUp im Einsatz ?

 

[Silver Server]

Im Ordner C:/Windows/Minidump
befinden sich die Informationen zum blue screen.
Die letzten fünf Files auf den Desktop kopieren.
Mit rar oder zip verpacken.
Hier im Forum hoch laden.

 

[Rommie]

Hast du irgendein Verschlimmbesserungstool a la TuneUp im Einsatz ?

Zu meiner Schande muß ich gestehen,... ja - CCLeaner.. und dann nur die an Bord eigenen Mittel wie Datenträger-Bereinigung, Defrag, etc.
Da ich solche Tools aber nur kurz vor dem Herunterfahren des Computers nutze, um das System zu bereinigen, kommen diese beim EUMETCast-Rechner so gut wie garnicht zum Einsatz, da dieser ja 24/7 läuft.
'Scheduled-Tasks' von diesen Tools gibt es auch nicht, da diese den reibungslosen Betrieb des Rechners wärend des Empfangs nur stören würden. Allerdings ist CCleaner trotzdem auf dem EUMETCast installiert. Nach Updates wird sowohl von diesem Tools, als auch vom gesamten Systen NICHT gesucht. Auch Patches werden nicht installiert, da diese das veralterte OS vermutlich ehh nur ganz lahm legen würden und dann gängeln, man solle W10 nutzen... was auf der Maschine ehh nicht geht.
Lediglich die MS-Essentials kommen für die Definitionen durch. Wobei es da wohl auch nur noch eine Frage der Zeit ist, bis diese keine neuen Definitionen mehr bekommen.

 

[HerrAbisZ]

Überprüfe auch mal das Netzteil und ob am Mainboard aufgeblähte Elkos sind

 

[Rommie]

Uff, na da muß ich mich dann an meinen Kollegen wenden. Das ist mir dann doch zu 'technisch'...
Melde mich wieder...