Да. По скриншоту видно важную вещь: Windows блокирует именно запуск .cmd из %TEMP%, а не саму команду внутри него.
Сообщение:
«Эта программа заблокирована групповой политикой»
При этом админ может посмотреть доменные GPO и не найти запрета. Это вполне возможно — блокировка может идти не из той GPO, которую обычно проверяют, либо применяться локально/через AppLocker/Software Restriction Policies.
Что я бы проверил первым
Открой обычный cmd и выполни:
gpresult /h "%USERPROFILE%\Desktop\gp.html"
Потом:
gpresult /r
И отдельно:
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /s
и:
reg query "HKCU\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /s
Если там есть CodeIdentifiers — это очень интересный след: Software Restriction Policies (SRP).
Ещё важнее — AppLocker
Выполни:
powershell -NoProfile -Command "Get-AppLockerPolicy -Effective | Format-List"
Если команда что-то выдаст — посмотрим правила.
И:
powershell -NoProfile -Command "Get-WinEvent -LogName 'Microsoft-Windows-AppLocker/MSI and Script' -MaxEvents 20 | Format-List TimeCreated,Id,Message"
А также:
powershell -NoProfile -Command "Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -MaxEvents 20 | Format-List TimeCreated,Id,Message"
И я бы сделал ещё один очень показательный тест
Создай .cmd не в Temp, а, например, в:
C:\Users\TenkovAN.TZA\Desktop\
с содержимым:
@echo off
echo TEST
pause
И запусти.
Результат очень многое скажет:
если с рабочего стола запускается, а из %TEMP% нет → почти наверняка ограничение по пути %TEMP%;
если не запускается вообще → смотрим SRP/AppLocker/WDAC;
если обычный .cmd запускается, а конкретный Tenk08D45A3D5w7v7.cmd нет → возможно правило по конкретному файлу/хэшу/источнику.
Судя по твоему скриншоту, я бы в первую очередь проверял именно Software Restriction Policies/AppLocker и правило на %TEMP%. Сам факт, что админ сказал «групповая политика всё разрешает», ещё не исключает такую блокировку — надо посмотреть эффективную политику именно твоего пользователя и события блокировки.
