Устранение последствий "атаки" WPS Office

[SibUrsus]

Здравствуйте!
Рабочий ПК, Win10 21H2 Pro, в домене, с довольно строгими политиками, агент DrWeb11.5 ФCTЭК, SecretNet Studio 8.5
Но даже эти меры безопасности не уберегли от самого страшного зверя - прокладки между креслом и клавиатурой. Подробности опущу, флюгегенхаймен расчехлен и запущен, сейчас о другом.
Установился WPS Office. Штатно удалить не удалось. Из под админской учетки, заходил в папку и вручную запускал uninst.exe , запускался процесс удаления но это была лишь имитация, всё оставалось на своих местах. 2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка".
Удалил "сладкую парочку". ПК из домена не вывел. Грубо снёс папку Kingsoft. Почистил реестр RegOrganizer от компании Chemtable. Удалил мертвые ярлыки.
Но ассоциация файлов полностью заруинилась. Быстро удалось восстановить только pdf с Adobe Readre DC.
Что делал.
Восстановление MS Office 2010.
Пуск - Microsoft Office - Диспетчер рисунков - Справка - Найти и восстановить...
В админской учетке всё восстановилось, а в пользовательской нет :(
После запуска "Открыть с помощью" выходит такая картинка:
https://ic.pics.livejournal.com/ironlamer/8720124/51603/51603_original.png

Запуск происходит, но ярлычки все равно пустые квадратики.
В реестре удалил все что нашел по поиску Kingsoft, вот что нашел в Компьютер\HKEY_CLASSES_ROOT\.docx

https://ic.pics.livejournal.com/ironlamer/8720124/51734/51734_original.png

[Angry Demon]

SibUrsus, самое первое, что надо было сделать - откатить систему - не сделали?

[SibUrsus]

2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка". »
Да. "2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка"."

[NickM]

вот что нашел в Компьютер\HKEY_CLASSES_ROOT\.docx »
Как вариант, произвести экспорт на рабочей системе и импорт на проблемной ключей реестра.

[SibUrsus]

Странно, почему сработало в админской учетке, но не подействовало в юзерской? Простите за тупой вопрос, как реестр забэкапить перед манипуляциями? Как бы хуже не сделать.

[NickM]

как реестр забэкапить перед манипуляциями? »
С помощью точек восстановления, стандартного функционала копии реестра (https://www.outsidethebox.ms/19515/), с помощью сторонних утилит, или, например, "ABR" в составе утилиты "HiJackThis (https://www.safezone.cc/resources/hijackthis-fork.201/)".

[SibUrsus]

Это единственный ПК с 10 в предприятии, из Win 7 Pro 32-bit можно экспортировать?

[Vanadiy777]

SibUrsus,
Создайте рег-файл следующего содержания и примените.
Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\.docx]

[HKEY_CLASSES_ROOT\.docx]
"PerceivedType"="document"
@="Word.Document.12"
"Content Type"="application/vnd.openxmlformats-officedocument.wordprocessingml.document"

[HKEY_CLASSES_ROOT\.docx\OpenWithList]

[HKEY_CLASSES_ROOT\.docx\OpenWithList\WordPad.exe]
@=""

[HKEY_CLASSES_ROOT\.docx\PersistentHandler]
@="{D3B41FA1-01E3-49AF-AA25-1D0D824275AE}"

[HKEY_CLASSES_ROOT\.docx\ShellEx]

[HKEY_CLASSES_ROOT\.docx\ShellEx\PropertyHandler]
@="{993BE281-6695-4BA5-8A2A-7AACBFAAB69E}"

[HKEY_CLASSES_ROOT\.docx\ShellEx\{8895b1c6-b41f-4c1c-a562-0d564250836f}]
@="{84F66100-FF7C-4fb4-B0C0-02CD7FB668FE}"

[HKEY_CLASSES_ROOT\.docx\ShellEx\{BB2E617C-0920-11d1-9A0B-00C04FC2D6C1}]
@="{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97}"

[HKEY_CLASSES_ROOT\.docx\Word.Document.12]

[HKEY_CLASSES_ROOT\.docx\Word.Document.12\ShellNew]
"NullFile"=""



Хуже точно не будет.

P.S. Экспортировал с живой машины с Windows 10 и Office 2010

[Angry Demon]

SibUrsus, я бы ещё и на недельку назад попробовал откатиться.

[Petya V4sechkin]

Странно, почему сработало в админской учетке, но не подействовало в юзерской?
Судя по скриншотам, WPS Office ставился на уровне пользователя, а значит, модифицировал раздел
HKEY_CURRENT_USER\Software\Classes

HKEY_CLASSES_ROOT - это представление реестра в результате наложения HKEY_CURRENT_USER\Software\Classes на HKEY_LOCAL_MACHINE\SOFTWARE\Classes (то есть, HKEY_CURRENT_USER\Software\Classes имеет приоритет - может переопределять параметры только для данного конкретного пользователя).

[SibUrsus]

SibUrsus, я бы ещё и на недельку назад попробовал откатиться. »Совершенно согласен, но этот ПК мы получили недавно, ставил и настраивал систему не я, и там диск Це небольшой и квота под хранение точек минимальная, и у меня в распоряжении было только три, 14 мая была самой старой :(

[SibUrsus]

Судя по скриншотам, WPS Office ставился на уровне пользователя, а значит, модифицировал раздел
HKEY_CURRENT_USER\Software\Classes
HKEY_CLASSES_ROOT - это представление реестра в результате наложения HKEY_CURRENT_USER\Software\Classes на HKEY_LOCAL_MACHINE\SOFTWARE\Classes (то есть, HKEY_CURRENT_USER\Software\Classes имеет приоритет - может переопределять параметры только для данного конкретного пользователя). »

Да вроде не зацепило?

https://ic.pics.livejournal.com/ironlamer/8720124/52323/52323_original.png
https://ic.pics.livejournal.com/ironlamer/8720124/52525/52525_original.png

[SibUrsus]

SibUrsus,
Создайте рег-файл следующего содержания и примените.
.docx
Хуже точно не будет.
P.S. Экспортировал с живой машины с Windows 10 и Office 2010 »
Спасибо, в реестре исправилось:
https://ic.pics.livejournal.com/ironlamer/8720124/53190/53190_original.png

Но в проводнике у пользователя всё равно так:
https://ic.pics.livejournal.com/ironlamer/8720124/52986/52986_original.png

Ну, хотя бы работает, а так, обидно конечно. И мне урок, разумеется, не надо либеральничать на работе.

[Petya V4sechkin]

Да вроде не зацепило?
Ну вы же говорите, что проблема у конкретного пользователя - значит, смотреть нужно не в HKEY_LOCAL_MACHINE, а в HKEY_CURRENT_USER\Software\Classes под этим пользователем.

[Vanadiy777]

Но в проводнике у пользователя всё равно так: »
SibUrsus,

тогда еще вот это попробуйте:
Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\WPS.Docx.6]

[-HKEY_CLASSES_ROOT\Word.Document.12]

[HKEY_CLASSES_ROOT\Word.Document.12]
@="Документ Microsoft Word"
"BrowserFlags"=dword:0000002c

[HKEY_CLASSES_ROOT\Word.Document.12\CLSID]
@="{F4754C9B-64F5-4B40-8AF4-679732AC0607}"

[HKEY_CLASSES_ROOT\Word.Document.12\DefaultIcon]
@="C:\\Windows\\Installer\\{90140000-0011-0000-0000-0000000FF1CE}\\wordicon.exe,13"

[HKEY_CLASSES_ROOT\Word.Document.12\DocObject]
@="16"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler]
@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\MSOHTMED.EXE\" \"%1\""

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\Icon]
@=".dochtml"
".htm"=".dochtml"
".html"=".dochtml"
".mhtml"=".docmhtml"
".mht"=".docmhtml"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell]

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\edit]

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\edit\command]
@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\MSOHTMED.EXE\" /o0 \"%1\""

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions]

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\command]
@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\WINWORD.EXE\" /n"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec]
@="[Dim dlg as FilePrint][FileOpen(\"%1\")][t=IsDocumentDirty()][GetCurValues dlg][n = Dialog dlg][if n = -1 then FilePrint dlg][SetDocumentDirty t][DocClose]"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\Application]
@="WinWord"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\ifexec]
@="[Dim dlg as FilePrint][FileOpen(\"%1\")][GetCurValues dlg][n = Dialog dlg][if n = -1 then FilePrint dlg][FileExit 2]"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\Topic]
@="System"

[HKEY_CLASSES_ROOT\Word.Document.12\Insertable]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\RequestDataFormats]
@="NoteshNote,NotesDocAction"

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\server]
@="C:\\PROGRA~2\\Microsoft Office\\Office14\\WINWORD.EXE"

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\SetDataFormats]
@="NotesDocInfo"

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\Verb]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\Verb\0]
@="Edit"

[HKEY_CLASSES_ROOT\Word.Document.12\shell]
@="Open"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Edit]
@="&Изменить"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Edit\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /vu \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,76,00,75,00,20,00,22,00,25,00,31,00,22,00,00,00,\
00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\New]
@="Со&здать"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\New\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /n /f \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,6e,00,20,00,2f,00,66,00,20,00,22,00,25,00,31,00,\
22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OnenotePrintto]
@="&Печать"
"Extended"=""

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OnenotePrintto\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /j \"%1\" \"%2\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,6a,00,20,00,22,00,25,00,31,00,22,00,20,00,22,00,\
25,00,32,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Open]
@="&Открыть"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Open\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /n \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,6e,00,20,00,22,00,25,00,31,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OpenAsReadOnly]
@="Только для чтения"
"Extended"=""

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OpenAsReadOnly\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /h /n \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,68,00,20,00,2f,00,6e,00,20,00,22,00,25,00,31,00,\
22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Print]
@="&Печать"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Print\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /i \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,69,00,20,00,22,00,25,00,31,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Printto]

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Printto\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /j \"%1\" \"%2\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,6a,00,20,00,22,00,25,00,31,00,22,00,20,00,22,00,\
25,00,32,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\ViewProtected]
@="Открыть в режиме защищенного &просмотра"
"Extended"=""

[HKEY_CLASSES_ROOT\Word.Document.12\shell\ViewProtected\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /vp \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
00,5a,00,75,00,20,00,2f,00,76,00,70,00,20,00,22,00,25,00,31,00,22,00,00,00,\
00,00

[HKEY_CLASSES_ROOT\Word.Document.12\XML Handler]

[HKEY_CLASSES_ROOT\Word.Document.12\XML Handler\Icon]
@=".docxml"
".xml"=".docxml"

[ibarg]

После запуска "Открыть с помощью" выходит такая картинка: »
Просто заново установил последнюю версию WPS Office, отключил в диспетчере задач процессы WPSxxxxxx, штатно удалил. Эта картинка исчезла. Потом удалил папки Kingsoft в C:\Users\USER\AppData\Local (с отключением explorer.exe) и C:\Users\USER\AppData\Roaming.

[Vanadiy777]

ibarg,
ассоциации файлов и иконки в проводнике тоже восстановились после этого?

[ibarg]

Vanadiy777, Вроде стали дефолтными.

[Vanadiy777]

Вроде стали дефолтными. »
ibarg, Гут, но решать, по любому, коллеге SibUrsus...

[SibUrsus]

Просто заново установил последнюю версию WPS Office, отключил в диспетчере задач процессы WPSxxxxxx, штатно удалил. Эта картинка исчезла. Потом удалил папки Kingsoft в C:\Users\USER\AppData\Local (с отключением explorer.exe) и C:\Users\USER\AppData\Roaming. »
Да, я читал про этот способ тут (https://social.technet.microsoft.com/Forums/office/en-US/26e5431f-4dd7-425c-bfad-f2be2121b100/how-to-remove-wps-office?forum=win10itprogeneral) (пост юзера Bertram12), никаких процессов не висело, ничего не помогло, забыл упомянуть в стартовом посте.
О результатах работы с реестром отпишусь позже.