Устранение последствий "атаки" WPS Office - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Microsoft Windows 10 (http://forum.oszone.net/forumdisplay.php?f=118)

- - Устранение последствий "атаки" WPS Office (http://forum.oszone.net/showthread.php?t=351387)

Устранение последствий "атаки" WPS Office

Здравствуйте!
Рабочий ПК, Win10 21H2 Pro, в домене, с довольно строгими политиками, агент DrWeb11.5 ФCTЭК, SecretNet Studio 8.5
Но даже эти меры безопасности не уберегли от самого страшного зверя - прокладки между креслом и клавиатурой. Подробности опущу, флюгегенхаймен расчехлен и запущен, сейчас о другом.
Установился WPS Office. Штатно удалить не удалось. Из под админской учетки, заходил в папку и вручную запускал uninst.exe , запускался процесс удаления но это была лишь имитация, всё оставалось на своих местах. 2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка".
Удалил "сладкую парочку". ПК из домена не вывел. Грубо снёс папку Kingsoft. Почистил реестр RegOrganizer от компании Chemtable. Удалил мертвые ярлыки.
Но ассоциация файлов полностью заруинилась. Быстро удалось восстановить только pdf с Adobe Readre DC.
Что делал.
Восстановление MS Office 2010.
Пуск - Microsoft Office - Диспетчер рисунков - Справка - Найти и восстановить...
В админской учетке всё восстановилось, а в пользовательской нет :(
После запуска "Открыть с помощью" выходит такая картинка:

Запуск происходит, но ярлычки все равно пустые квадратики.
В реестре удалил все что нашел по поиску Kingsoft, вот что нашел в Компьютер\HKEY_CLASSES_ROOT\.docx

SibUrsus, самое первое, что надо было сделать - откатить систему - не сделали?

Цитата:

Цитата Angry Demon

2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка". »

Да. "2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка"."

Цитата:

Цитата SibUrsus

вот что нашел в Компьютер\HKEY_CLASSES_ROOT\.docx »

Как вариант, произвести экспорт на рабочей системе и импорт на проблемной ключей реестра.

Странно, почему сработало в админской учетке, но не подействовало в юзерской? Простите за тупой вопрос, как реестр забэкапить перед манипуляциями? Как бы хуже не сделать.

Цитата:

Цитата SibUrsus

как реестр забэкапить перед манипуляциями? »

С помощью точек восстановления, стандартного функционала копии реестра, с помощью сторонних утилит, или, например, "ABR" в составе утилиты "HiJackThis".

Это единственный ПК с 10 в предприятии, из Win 7 Pro 32-bit можно экспортировать?

SibUrsus,
Создайте рег-файл следующего содержания и примените.

.docx

Код:

Windows Registry Editor Version 5.00



[-HKEY_CLASSES_ROOT\.docx]



[HKEY_CLASSES_ROOT\.docx]

"PerceivedType"="document"

@="Word.Document.12"

"Content Type"="application/vnd.openxmlformats-officedocument.wordprocessingml.document"



[HKEY_CLASSES_ROOT\.docx\OpenWithList]



[HKEY_CLASSES_ROOT\.docx\OpenWithList\WordPad.exe]

@=""



[HKEY_CLASSES_ROOT\.docx\PersistentHandler]

@="{D3B41FA1-01E3-49AF-AA25-1D0D824275AE}"



[HKEY_CLASSES_ROOT\.docx\ShellEx]



[HKEY_CLASSES_ROOT\.docx\ShellEx\PropertyHandler]

@="{993BE281-6695-4BA5-8A2A-7AACBFAAB69E}"



[HKEY_CLASSES_ROOT\.docx\ShellEx\{8895b1c6-b41f-4c1c-a562-0d564250836f}]

@="{84F66100-FF7C-4fb4-B0C0-02CD7FB668FE}"



[HKEY_CLASSES_ROOT\.docx\ShellEx\{BB2E617C-0920-11d1-9A0B-00C04FC2D6C1}]

@="{C41662BB-1FA0-4CE0-8DC5-9B7F8279FF97}"



[HKEY_CLASSES_ROOT\.docx\Word.Document.12]



[HKEY_CLASSES_ROOT\.docx\Word.Document.12\ShellNew]

"NullFile"=""

Хуже точно не будет.

P.S. Экспортировал с живой машины с Windows 10 и Office 2010

SibUrsus, я бы ещё и на недельку назад попробовал откатиться.

Цитата:

Цитата SibUrsus

Странно, почему сработало в админской учетке, но не подействовало в юзерской?

Судя по скриншотам, WPS Office ставился на уровне пользователя, а значит, модифицировал раздел
HKEY_CURRENT_USER\Software\Classes

HKEY_CLASSES_ROOT - это представление реестра в результате наложения HKEY_CURRENT_USER\Software\Classes на HKEY_LOCAL_MACHINE\SOFTWARE\Classes (то есть, HKEY_CURRENT_USER\Software\Classes имеет приоритет - может переопределять параметры только для данного конкретного пользователя).

Цитата:

Цитата Angry Demon

SibUrsus, я бы ещё и на недельку назад попробовал откатиться. »

Совершенно согласен, но этот ПК мы получили недавно, ставил и настраивал систему не я, и там диск Це небольшой и квота под хранение точек минимальная, и у меня в распоряжении было только три, 14 мая была самой старой :(

Цитата:

Цитата Petya V4sechkin

Судя по скриншотам, WPS Office ставился на уровне пользователя, а значит, модифицировал раздел
HKEY_CURRENT_USER\Software\Classes
HKEY_CLASSES_ROOT - это представление реестра в результате наложения HKEY_CURRENT_USER\Software\Classes на HKEY_LOCAL_MACHINE\SOFTWARE\Classes (то есть, HKEY_CURRENT_USER\Software\Classes имеет приоритет - может переопределять параметры только для данного конкретного пользователя). »

Да вроде не зацепило?

Цитата:

Цитата Vanadiy777

SibUrsus,
Создайте рег-файл следующего содержания и примените.
.docx
Хуже точно не будет.
P.S. Экспортировал с живой машины с Windows 10 и Office 2010 »

Спасибо, в реестре исправилось:

Но в проводнике у пользователя всё равно так:

Ну, хотя бы работает, а так, обидно конечно. И мне урок, разумеется, не надо либеральничать на работе.

Цитата:

Цитата SibUrsus

Да вроде не зацепило?

Ну вы же говорите, что проблема у конкретного пользователя - значит, смотреть нужно не в HKEY_LOCAL_MACHINE, а в HKEY_CURRENT_USER\Software\Classes под этим пользователем.

Цитата:

Цитата SibUrsus

Но в проводнике у пользователя всё равно так: »

SibUrsus,

тогда еще вот это попробуйте:

Word.Document.12

Код:

Windows Registry Editor Version 5.00



[-HKEY_CLASSES_ROOT\WPS.Docx.6]



[-HKEY_CLASSES_ROOT\Word.Document.12]



[HKEY_CLASSES_ROOT\Word.Document.12]

@="Документ Microsoft Word"

"BrowserFlags"=dword:0000002c



[HKEY_CLASSES_ROOT\Word.Document.12\CLSID]

@="{F4754C9B-64F5-4B40-8AF4-679732AC0607}"



[HKEY_CLASSES_ROOT\Word.Document.12\DefaultIcon]

@="C:\\Windows\\Installer\\{90140000-0011-0000-0000-0000000FF1CE}\\wordicon.exe,13"



[HKEY_CLASSES_ROOT\Word.Document.12\DocObject]

@="16"



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler]

@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\MSOHTMED.EXE\" \"%1\""



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\Icon]

@=".dochtml"

".htm"=".dochtml"

".html"=".dochtml"

".mhtml"=".docmhtml"

".mht"=".docmhtml"



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell]



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\edit]



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\edit\command]

@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\MSOHTMED.EXE\" /o0 \"%1\""



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions]



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\command]

@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\WINWORD.EXE\" /n"



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec]

@="[Dim dlg as FilePrint][FileOpen(\"%1\")][t=IsDocumentDirty()][GetCurValues dlg][n = Dialog dlg][if n = -1 then FilePrint dlg][SetDocumentDirty t][DocClose]"



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\Application]

@="WinWord"



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\ifexec]

@="[Dim dlg as FilePrint][FileOpen(\"%1\")][GetCurValues dlg][n = Dialog dlg][if n = -1 then FilePrint dlg][FileExit 2]"



[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\Topic]

@="System"



[HKEY_CLASSES_ROOT\Word.Document.12\Insertable]



[HKEY_CLASSES_ROOT\Word.Document.12\protocol]



[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing]



[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\RequestDataFormats]

@="NoteshNote,NotesDocAction"



[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\server]

@="C:\\PROGRA~2\\Microsoft Office\\Office14\\WINWORD.EXE"



[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\SetDataFormats]

@="NotesDocInfo"



[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\Verb]



[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\Verb\0]

@="Edit"



[HKEY_CLASSES_ROOT\Word.Document.12\shell]

@="Open"



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Edit]

@="&Изменить"



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Edit\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /vu \"%1\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,76,00,75,00,20,00,22,00,25,00,31,00,22,00,00,00,\

  00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\New]

@="Со&здать"



[HKEY_CLASSES_ROOT\Word.Document.12\shell\New\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /n /f \"%1\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,6e,00,20,00,2f,00,66,00,20,00,22,00,25,00,31,00,\

  22,00,00,00,00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\OnenotePrintto]

@="&Печать"

"Extended"=""



[HKEY_CLASSES_ROOT\Word.Document.12\shell\OnenotePrintto\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /j \"%1\" \"%2\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,6a,00,20,00,22,00,25,00,31,00,22,00,20,00,22,00,\

  25,00,32,00,22,00,00,00,00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Open]

@="&Открыть"



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Open\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /n \"%1\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,6e,00,20,00,22,00,25,00,31,00,22,00,00,00,00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\OpenAsReadOnly]

@="Только для чтения"

"Extended"=""



[HKEY_CLASSES_ROOT\Word.Document.12\shell\OpenAsReadOnly\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /h /n \"%1\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,68,00,20,00,2f,00,6e,00,20,00,22,00,25,00,31,00,\

  22,00,00,00,00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Print]

@="&Печать"



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Print\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /i \"%1\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,69,00,20,00,22,00,25,00,31,00,22,00,00,00,00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Printto]



[HKEY_CLASSES_ROOT\Word.Document.12\shell\Printto\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /j \"%1\" \"%2\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,6a,00,20,00,22,00,25,00,31,00,22,00,20,00,22,00,\

  25,00,32,00,22,00,00,00,00,00



[HKEY_CLASSES_ROOT\Word.Document.12\shell\ViewProtected]

@="Открыть в режиме защищенного &просмотра"

"Extended"=""



[HKEY_CLASSES_ROOT\Word.Document.12\shell\ViewProtected\command]

@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /vp \"%1\""

"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\

  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\

  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\

  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\

  00,5a,00,75,00,20,00,2f,00,76,00,70,00,20,00,22,00,25,00,31,00,22,00,00,00,\

  00,00



[HKEY_CLASSES_ROOT\Word.Document.12\XML Handler]



[HKEY_CLASSES_ROOT\Word.Document.12\XML Handler\Icon]

@=".docxml"

".xml"=".docxml"

Цитата:

Цитата SibUrsus

После запуска "Открыть с помощью" выходит такая картинка: »

Просто заново установил последнюю версию WPS Office, отключил в диспетчере задач процессы WPSxxxxxx, штатно удалил. Эта картинка исчезла. Потом удалил папки Kingsoft в C:\Users\~~USER~~\AppData\Local (с отключением explorer.exe) и C:\Users\~~USER~~\AppData\Roaming.

ibarg,
ассоциации файлов и иконки в проводнике тоже восстановились после этого?

Vanadiy777, Вроде стали дефолтными.

Цитата:

Цитата ibarg

Вроде стали дефолтными. »

ibarg, Гут, но решать, по любому, коллеге SibUrsus...

Цитата:

Цитата ibarg

Просто заново установил последнюю версию WPS Office, отключил в диспетчере задач процессы WPSxxxxxx, штатно удалил. Эта картинка исчезла. Потом удалил папки Kingsoft в C:\Users\USER\AppData\Local (с отключением explorer.exe) и C:\Users\USER\AppData\Roaming. »

Да, я читал про этот способ тут (пост юзера Bertram12), никаких процессов не висело, ничего не помогло, забыл упомянуть в стартовом посте.
О результатах работы с реестром отпишусь позже.

Цитата:

Цитата Vanadiy777

SibUrsus,
тогда еще вот это попробуйте: »

Спасибо вам огромное, но к сожалению, не помогло. :sorry: Запускал слияние из под админской учетки.

Цитата:

Цитата Petya V4sechkin

Ну вы же говорите, что проблема у конкретного пользователя - значит, смотреть нужно не в HKEY_LOCAL_MACHINE, а в HKEY_CURRENT_USER\Software\Classes под этим пользователем. »

Да, китайский мерзавец и тут навалил кучи.

Тревожит отсутствие ключа docx.

Цитата:

Цитата SibUrsus

Тревожит отсутствие ключа docx. »

SibUrsus,

в HKEY_CURRENT_USER\Software\Classes не должно быть этих ключей.
Также удалите ключи .doc и .doc/WPS.Doc.6/ShellNew из ветки HKEY_CURRENT_USER\Software\Classes, после этого перезагрузите компьютер

Цитата:

Цитата SibUrsus

никаких процессов не висело »

Должны быть в фоновых процессах, у меня было 3 шт. При удалении смотреть надо варианты, что предлагаются анинсталлером.

Цитата:

Цитата ibarg

Должны быть в фоновых процессах, у меня было 3 шт. При удалении смотреть надо варианты, что предлагаются анинсталлером. »

Я же говорю, домен+СикретНет, шкворень ему в дышло, диспетчер задач даже после ввода админского пароля ничего не видел. И RevoUninstaller его не видел.

Цитата:

Цитата SibUrsus

RevoUninstaller его не видел. »

Никакой навороченной байды не надо. Все делать штатно.

Цитата:

Цитата Vanadiy777

Также удалите ключи .doc и .doc/WPS.Doc.6/ShellNew из ветки HKEY_CURRENT_USER\Software\Classes, после этого перезагрузите компьютер »

Не помогло
:flag:

Цитата:

Цитата ibarg

Никакой навороченной байды не надо. Все делать штатно. »

Я видимо плохо в первом посту объяснил. Через стандартную панель управления нажатие кнопки "Удалить" не приводило ни к чему. Вообще. Совсем. Ноль реакции. Знал бы что такие скептики попадутся - видео бы записал.

Цитата:

Цитата SibUrsus

Я видимо плохо в первом посту объяснил. »

Там вообще малопонятно. Только фраза:

Цитата:

Цитата SibUrsus

Штатно удалить не удалось. »

По идее надо было сразу накатить поверх свежий WPS Office и пробовать штатно удалить. Вместо этого - нештатное удаление.

Цитата:

Цитата SibUrsus

Не помогло »

SibUrsus,
Извините, коллега, чем могу... :)

Цитата:

Цитата ibarg

По идее надо было сразу накатить поверх свежий WPS Office и пробовать штатно удалить. »

И вы всерьез считаете это самым простым, очевидным решением???!!
И, повторюсь, я пробовал, одним из первых шагов, до того как перейдти к силовому решению.

Цитата:

Цитата SibUrsus

И вы всерьез считаете это самым простым, очевидным решением???!!»

Поскольку результат отличен от моего, то ДА!!!

Ну вот такой он, китайский рандом, абсолютно искренне рад за вас, что вам повезло. Что у вас нет SecretNet-а, да еще сетевого, управляемого не вами.

Пост для тех, кто будет искать решение проблемы. Сам столкнулся в организации и сам решил. Сначала обнаружил проблему, когда жена на комп поставила. Там и увидел, что для удаления требует прав админа. Итак поехали:
Нужно скачать свежий установщик, который при запуске будет качать полноценный установщик в процессе установки. При запуске может выругнутся, что не может скачать полный установщик, типа скачайте вручную. Забейте. При запуске собственноручно скачанного полного дистра будет так же ругаться, что нужны права админа. Поместите установщик туда, где у юзера есть права на запись в папке. Запустите ещё раз установщик, должна сработать загрузка полного дистра. У меня сработата на второй раз. В процессе загрузки пройдёт и установка (обновление).
Есть у них же на сайте инструкция, что можно в самой программе отключить ассоциации. Выкладывать ссылку не буду, вдруг сочтут за рекламу или ещё чего и почикают пост, а пост очень важен. Щас много народу с этой хренью сталкиваются.
Если вкратце. Заходите в настройки. Есть там опция файловых ассоциаций. Убираете все галки. Часть галок не нажимается пока не отожмёте самую верхнюю галку. Тогда нижние галки можно будет отжать. Закрываете wps, ждёте немного, ассоциации в системе возвращаются в норму.
Грохаете все процессы в диспетчере, которые начинаются с wps.
К слову, программа из рекомендации ниже предложит это сделать в процессе.
Далее берёте какой-нибудь сторонний унинсталлер. Я рекомендую бесплатный bsuninstaller (есть портабл, поэтому нет необходимости ставить в пользователя). Запускаете его и сносите всё к х...., что находит программа по wps.

Готово!

p.s. Можно попробовать отключить ассоциации не загружая и не устанавливая обновлённую версию. Пока не пробовал. Думаю должно сработать.