[DJ Mogarych]

Обратился в техподдержку Микрософта, там подсказали решение.
В реестре в раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run добавить строковый параметр (REG_SZ) с произвольным именем (я назвал его ctfmon) и значением ctfmon="ctfmon.exe"

Прописал его в политику GPO на все клиентские машины.