[dislike]

1. Просто в лоб отобрать права записи в папку ProgramData.
Либо
2. Запретить запуск любых исполняемых файлов из тех директорий, куда у них есть права на запись. Делается через SRP.
3. Отобрать права на запись в те директории, где расположены "разрешенные" для запуска программы, т.о. они просто не смогут ничего устанавливать, потому что файлы exe не будут запускаться из "неразрешенных" для запуска директорий, а пихать их в разрешенные для запуска директории у них прав не хватит.

P.S. Всё это чревато постоянными проблемами, которые придется постоянно корректировать в ручном режиме.