Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Клиентские ОС Microsoft » Microsoft Windows 10 » Интерфейс - Устранение последствий "атаки" WPS Office

< Предыдущая 1 2 3 4 Следующая >
Ответить
Настройки темы
Интерфейс - Устранение последствий "атаки" WPS Office

Старожил


Сообщения: 190
Благодарности: 10

Профиль | Отправить PM | Цитировать

Здравствуйте!
Рабочий ПК, Win10 21H2 Pro, в домене, с довольно строгими политиками, агент DrWeb11.5 ФCTЭК, SecretNet Studio 8.5
Но даже эти меры безопасности не уберегли от самого страшного зверя - прокладки между креслом и клавиатурой. Подробности опущу, флюгегенхаймен расчехлен и запущен, сейчас о другом.
Установился WPS Office. Штатно удалить не удалось. Из под админской учетки, заходил в папку и вручную запускал uninst.exe , запускался процесс удаления но это была лишь имитация, всё оставалось на своих местах. 2 раза пробовал откатиться на вчерашнюю точку восстановления, безрезультатно, подозреваю что помешала эта "сладкая парочка".
Удалил "сладкую парочку". ПК из домена не вывел. Грубо снёс папку Kingsoft. Почистил реестр RegOrganizer от компании Chemtable. Удалил мертвые ярлыки.
Но ассоциация файлов полностью заруинилась. Быстро удалось восстановить только pdf с Adobe Readre DC.
Что делал.
Восстановление MS Office 2010.
Пуск - Microsoft Office - Диспетчер рисунков - Справка - Найти и восстановить...
В админской учетке всё восстановилось, а в пользовательской нет
После запуска "Открыть с помощью" выходит такая картинка:


Запуск происходит, но ярлычки все равно пустые квадратики.
В реестре удалил все что нашел по поиску Kingsoft, вот что нашел в Компьютер\HKEY_CLASSES_ROOT\.docx

Отправлено: 15:21, 16-06-2022

 

Старожил


Сообщения: 190
Благодарности: 10

Профиль | Отправить PM | Цитировать

Цитата Angry Demon:
SibUrsus, я бы ещё и на недельку назад попробовал откатиться. »
Совершенно согласен, но этот ПК мы получили недавно, ставил и настраивал систему не я, и там диск Це небольшой и квота под хранение точек минимальная, и у меня в распоряжении было только три, 14 мая была самой старой

Отправлено: 07:57, 18-06-2022 | #11



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Старожил


Сообщения: 190
Благодарности: 10

Профиль | Отправить PM | Цитировать

Цитата Petya V4sechkin:
Судя по скриншотам, WPS Office ставился на уровне пользователя, а значит, модифицировал раздел
HKEY_CURRENT_USER\Software\Classes
HKEY_CLASSES_ROOT - это представление реестра в результате наложения HKEY_CURRENT_USER\Software\Classes на HKEY_LOCAL_MACHINE\SOFTWARE\Classes (то есть, HKEY_CURRENT_USER\Software\Classes имеет приоритет - может переопределять параметры только для данного конкретного пользователя). »
Да вроде не зацепило?

Отправлено: 09:03, 18-06-2022 | #12


Старожил


Сообщения: 190
Благодарности: 10

Профиль | Отправить PM | Цитировать

Цитата Vanadiy777:
SibUrsus,
Создайте рег-файл следующего содержания и примените.
.docx
Хуже точно не будет.
P.S. Экспортировал с живой машины с Windows 10 и Office 2010 »
Спасибо, в реестре исправилось:


Но в проводнике у пользователя всё равно так:


Ну, хотя бы работает, а так, обидно конечно. И мне урок, разумеется, не надо либеральничать на работе.

Отправлено: 09:30, 18-06-2022 | #13


 


Moderator


Сообщения: 53175
Благодарности: 15430

Профиль | Отправить PM | Цитировать

Цитата SibUrsus:
Да вроде не зацепило?
Ну вы же говорите, что проблема у конкретного пользователя - значит, смотреть нужно не в HKEY_LOCAL_MACHINE, а в HKEY_CURRENT_USER\Software\Classes под этим пользователем.

Отправлено: 10:20, 18-06-2022 | #14


Аватара для Vanadiy777

Ветеран


Сообщения: 2186
Благодарности: 877

Профиль | Отправить PM | Цитировать

Цитата SibUrsus:
Но в проводнике у пользователя всё равно так: »
SibUrsus,

тогда еще вот это попробуйте:
Word.Document.12
Код: Выделить весь код
Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\WPS.Docx.6]

[-HKEY_CLASSES_ROOT\Word.Document.12]

[HKEY_CLASSES_ROOT\Word.Document.12]
@="Документ Microsoft Word"
"BrowserFlags"=dword:0000002c

[HKEY_CLASSES_ROOT\Word.Document.12\CLSID]
@="{F4754C9B-64F5-4B40-8AF4-679732AC0607}"

[HKEY_CLASSES_ROOT\Word.Document.12\DefaultIcon]
@="C:\\Windows\\Installer\\{90140000-0011-0000-0000-0000000FF1CE}\\wordicon.exe,13"

[HKEY_CLASSES_ROOT\Word.Document.12\DocObject]
@="16"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler]
@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\MSOHTMED.EXE\" \"%1\""

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\Icon]
@=".dochtml"
".htm"=".dochtml"
".html"=".dochtml"
".mhtml"=".docmhtml"
".mht"=".docmhtml"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell]

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\edit]

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\edit\command]
@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\MSOHTMED.EXE\" /o0 \"%1\""

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions]

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\command]
@="\"C:\\PROGRA~2\\Microsoft Office\\Office14\\WINWORD.EXE\" /n"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec]
@="[Dim dlg as FilePrint][FileOpen(\"%1\")][t=IsDocumentDirty()][GetCurValues dlg][n = Dialog dlg][if n = -1 then FilePrint dlg][SetDocumentDirty t][DocClose]"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\Application]
@="WinWord"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\ifexec]
@="[Dim dlg as FilePrint][FileOpen(\"%1\")][GetCurValues dlg][n = Dialog dlg][if n = -1 then FilePrint dlg][FileExit 2]"

[HKEY_CLASSES_ROOT\Word.Document.12\HTML Handler\shell\PrintWithOptions\ddeexec\Topic]
@="System"

[HKEY_CLASSES_ROOT\Word.Document.12\Insertable]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\RequestDataFormats]
@="NoteshNote,NotesDocAction"

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\server]
@="C:\\PROGRA~2\\Microsoft Office\\Office14\\WINWORD.EXE"

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\SetDataFormats]
@="NotesDocInfo"

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\Verb]

[HKEY_CLASSES_ROOT\Word.Document.12\protocol\StdFileEditing\Verb\0]
@="Edit"

[HKEY_CLASSES_ROOT\Word.Document.12\shell]
@="Open"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Edit]
@="&Изменить"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Edit\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /vu \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,76,00,75,00,20,00,22,00,25,00,31,00,22,00,00,00,\
  00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\New]
@="Со&здать"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\New\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /n /f \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,6e,00,20,00,2f,00,66,00,20,00,22,00,25,00,31,00,\
  22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OnenotePrintto]
@="&Печать"
"Extended"=""

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OnenotePrintto\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /j \"%1\" \"%2\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,6a,00,20,00,22,00,25,00,31,00,22,00,20,00,22,00,\
  25,00,32,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Open]
@="&Открыть"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Open\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /n \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,6e,00,20,00,22,00,25,00,31,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OpenAsReadOnly]
@="Только для чтения"
"Extended"=""

[HKEY_CLASSES_ROOT\Word.Document.12\shell\OpenAsReadOnly\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /h /n \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,68,00,20,00,2f,00,6e,00,20,00,22,00,25,00,31,00,\
  22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Print]
@="&Печать"

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Print\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /i \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,69,00,20,00,22,00,25,00,31,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Printto]

[HKEY_CLASSES_ROOT\Word.Document.12\shell\Printto\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /j \"%1\" \"%2\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,6a,00,20,00,22,00,25,00,31,00,22,00,20,00,22,00,\
  25,00,32,00,22,00,00,00,00,00

[HKEY_CLASSES_ROOT\Word.Document.12\shell\ViewProtected]
@="Открыть в режиме защищенного &просмотра"
"Extended"=""

[HKEY_CLASSES_ROOT\Word.Document.12\shell\ViewProtected\command]
@="\"C:\\Program Files (x86)\\Microsoft Office\\Office14\\WINWORD.EXE\" /vp \"%1\""
"command"=hex(7):78,00,62,00,27,00,42,00,56,00,35,00,21,00,21,00,21,00,21,00,\
  21,00,21,00,21,00,21,00,21,00,4d,00,4b,00,4b,00,53,00,6b,00,57,00,4f,00,52,\
  00,44,00,46,00,69,00,6c,00,65,00,73,00,3e,00,62,00,69,00,24,00,54,00,21,00,\
  56,00,21,00,30,00,5a,00,3d,00,7b,00,50,00,6b,00,30,00,76,00,6d,00,7e,00,41,\
  00,5a,00,75,00,20,00,2f,00,76,00,70,00,20,00,22,00,25,00,31,00,22,00,00,00,\
  00,00

[HKEY_CLASSES_ROOT\Word.Document.12\XML Handler]

[HKEY_CLASSES_ROOT\Word.Document.12\XML Handler\Icon]
@=".docxml"
".xml"=".docxml"

Последний раз редактировалось Vanadiy777, 18-06-2022 в 20:57.

Отправлено: 10:28, 18-06-2022 | #15


Ветеран


Сообщения: 522
Благодарности: 84

Профиль | Отправить PM | Цитировать

Цитата SibUrsus:
После запуска "Открыть с помощью" выходит такая картинка: »
Просто заново установил последнюю версию WPS Office, отключил в диспетчере задач процессы WPSxxxxxx, штатно удалил. Эта картинка исчезла. Потом удалил папки Kingsoft в C:\Users\USER\AppData\Local (с отключением explorer.exe) и C:\Users\USER\AppData\Roaming.
Это сообщение посчитали полезным следующие участники:

Отправлено: 21:35, 18-06-2022 | #16


Аватара для Vanadiy777

Ветеран


Сообщения: 2186
Благодарности: 877

Профиль | Отправить PM | Цитировать

ibarg,
ассоциации файлов и иконки в проводнике тоже восстановились после этого?

Отправлено: 21:49, 18-06-2022 | #17


Ветеран


Сообщения: 522
Благодарности: 84

Профиль | Отправить PM | Цитировать

Vanadiy777, Вроде стали дефолтными.

Отправлено: 22:14, 18-06-2022 | #18


Аватара для Vanadiy777

Ветеран


Сообщения: 2186
Благодарности: 877

Профиль | Отправить PM | Цитировать

Цитата ibarg:
Вроде стали дефолтными. »
ibarg, Гут, но решать, по любому, коллеге SibUrsus...

Отправлено: 22:24, 18-06-2022 | #19


Старожил


Сообщения: 190
Благодарности: 10

Профиль | Отправить PM | Цитировать

Цитата ibarg:
Просто заново установил последнюю версию WPS Office, отключил в диспетчере задач процессы WPSxxxxxx, штатно удалил. Эта картинка исчезла. Потом удалил папки Kingsoft в C:\Users\USER\AppData\Local (с отключением explorer.exe) и C:\Users\USER\AppData\Roaming. »
Да, я читал про этот способ тут (пост юзера Bertram12), никаких процессов не висело, ничего не помогло, забыл упомянуть в стартовом посте.
О результатах работы с реестром отпишусь позже.

Отправлено: 06:07, 20-06-2022 | #20

< Предыдущая 1 2 3 4 Следующая >


Компьютерный форум OSzone.net » Клиентские ОС Microsoft » Microsoft Windows 10 » Интерфейс - Устранение последствий "атаки" WPS Office

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Загрузка - При нажатии F8 нет пункта "Устранение неполадок компьютера" Celsus Microsoft Windows 7 119 27-01-2019 04:55
Разное - Устранение последствий после вируса NevO Лечение систем от вредоносных программ 39 07-02-2011 15:07
Установка - [решено] Устранение "активности" с раздела жесткого диска Evropeez Microsoft Windows 2000/XP 2 25-05-2010 17:56
[решено] устранение последствий деятельности "вымогателя" pavel111 Лечение систем от вредоносных программ 4 21-12-2009 21:38


« Предыдущая тема | Следующая тема »


 
Переход