Пути заражения Windows в домене
самый простой способ — настроить запрет групповыми политиками запуск всего чего попало кроме списка хешей ворда/екселя/ие/аськи/чего-там еще надо.
запрет запуска всего чего-попало из папок пользовательского профиля.
отрезание прав.
настройка фаервола, антивируса.
через уязвимости в Windows или если кто-то из Domain Admins запустит вирус