Este artículo explica qué hacer cuando Microsoft Defender bloquea la actualización del conector Secure Exchanges en Outlook clásico debido a una regla de reducción de la superficie de ataque (ASR), y cómo configurar exclusiones específicas. Está dirigido a los administradores de TI.

1. Contexto

Microsoft Defender incluye una regla de seguridad llamada Block executable content from email client and webmail. Esta regla bloquea todo contenido considerado ejecutable cuando proviene de un correo o de un cliente de correo (Outlook, webmail, etc.).

2. Identificar el bloqueo en Microsoft Defender

2.1 Consulta Kusto (búsqueda avanzada)

Para confirmar que la regla ASR causa el problema, ejecute la consulta siguiente en el portal de Microsoft Defender, en Búsqueda avanzada (Advanced Hunting):

DeviceEvents
| where ActionType == "AsrExecutableEmailContentBlocked"
| where FileName contains "SecureExchanges"
| project Timestamp, DeviceName, FileName, FolderPath, SHA256
| order by Timestamp desc

2.2 Resultado típico

• ActionType: AsrExecutableEmailContentBlocked
• FileName: SecureExchangesSDK.dll
• FolderPath: C:\Users\[usuario]\AppData\Local\Apps\2.0\...

3. ¿Por qué se bloquea SecureExchangesSDK.dll?

Secure Exchanges usa este componente (DLL) para:

• gestionar la comunicación segura entre Outlook y el servidor;
• validar las acciones realizadas en Outlook (envío de mensajes cifrados);
• procesar los mensajes cifrados y descifrados.

Cuando el archivo proviene de una actualización oficial de Secure Exchanges, se trata de un falso positivo frecuente en los entornos con una configuración de seguridad estricta.

4. Principio de seguridad: exclusiones específicas

5. Tipos de exclusiones ASR

El alcance de la exclusión depende de su herramienta de administración. Esta diferencia es esencial para la seguridad:

6. Archivos que se deben excluir

DLL de Secure Exchanges

C:\Users\*\AppData\Local\Temp\Deployment\*\*\SecureExchangesSDK.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\OSecureExchange.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\*\OSecureExchange.resources.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\SecureExchangesSDK.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\OSecureExchange.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\SecureExchangesSDK.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\OSecureExchange.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\OSecureExchange.resources.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\*\OSecureExchange.resources.dll

Bibliotecas PDF (iText y PdfPig)

C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.*.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\UglyToad.PdfPig*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\UglyToad.PdfPig*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\itext.*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\UglyToad.PdfPig*.dll

DLL de terceros

C:\Users\*\AppData\Local\Temp\Deployment\*\*\BouncyCastle.Cryptography.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\CsvHelper.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\Newtonsoft.Json.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\PhoneNumbers.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\BouncyCastle.Cryptography.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\CsvHelper.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\Newtonsoft.Json.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\PhoneNumbers.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\BouncyCastle.Cryptography.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\CsvHelper.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\Newtonsoft.Json.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\PhoneNumbers.dll

Runtime .NET y VSTO

C:\Users\*\AppData\Local\Temp\Deployment\*\*\Microsoft.*.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\System.*.dll
C:\Users\*\AppData\Local\Temp\Deployment\*\*\netstandard.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\Microsoft.*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\System.*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\netstandard.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\Microsoft.*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\System.*.dll
C:\Users\*\AppData\Local\Apps\2.0\*\*\*\netstandard.dll

7. Aplicar las exclusiones

7.1 Con Intune (recomendado)

1. Vaya a Endpoint security > Attack surface reduction.
2. Seleccione o cree una directiva ASR.
3. Busque la regla «Block executable content from email client and webmail».
4. En ASR Only Per Rule Exclusions, agregue las rutas de la sección 6.
5. Guarde e implemente la directiva.

7.2 Con GPO (implementación en empresa)

1. Abra gpedit.msc (o la consola GPMC en un dominio).
2. Vaya a: Configuración del equipo > Plantillas administrativas > Componentes de Windows > Antivirus de Microsoft Defender > Microsoft Defender Exploit Guard > Reducción de la superficie de ataque.
   En inglés: Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Attack Surface Reduction.
3. Haga doble clic en la directiva de exclusión de archivos y rutas de las reglas de reducción de la superficie de ataque (en inglés: Exclude files and paths from Attack Surface Reduction Rules).
4. Habilite la directiva y agregue las rutas de la sección 6.
5. Aplique la directiva con gpupdate /force.

7.3 Con PowerShell

Para agregar las exclusiones:

$dlls = @(
    "SecureExchangesSDK.dll", "OSecureExchange.dll",
    "itext.*.dll", "UglyToad.PdfPig*.dll",
    "BouncyCastle.Cryptography.dll", "CsvHelper.dll",
    "Newtonsoft.Json.dll", "PhoneNumbers.dll",
    "Microsoft.*.dll", "System.*.dll", "netstandard.dll"
)

$prefixes = @(
    "C:\Users\*\AppData\Local\Temp\Deployment\*\*",
    "C:\Users\*\AppData\Local\Apps\2.0\*\*",
    "C:\Users\*\AppData\Local\Apps\2.0\*\*\*"
)

foreach ($p in $prefixes) {
    foreach ($d in $dlls) {
        Add-MpPreference -AttackSurfaceReductionOnlyExclusions "$p\$d"
    }
}

# Recursos localizados (subcarpeta de idioma, ej.: fr-CA)
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Users\*\AppData\Local\Temp\Deployment\*\*\*\OSecureExchange.resources.dll"
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Users\*\AppData\Local\Apps\2.0\*\*\*\OSecureExchange.resources.dll"
Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Users\*\AppData\Local\Apps\2.0\*\*\*\*\OSecureExchange.resources.dll"

Para verificar las exclusiones actuales:

Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionOnlyExclusions

8. Verificar que la exclusión funciona

1. Espere la propagación (hasta 90 minutos con GPO e Intune).
2. Pruebe una actualización de Secure Exchanges en un equipo. La actualización se hace automáticamente al reiniciar Outlook.
3. Vuelva a ejecutar la consulta de la sección 2.1. Si no aparece ningún nuevo bloqueo, la exclusión funciona.

9. Si el problema persiste

Referencias de Microsoft

• Información general de las reglas de reducción de la superficie de ataque (ASR) [Enlace por completar]
• Referencia de las reglas de reducción de la superficie de ataque (ASR) [Enlace por completar]

¿Necesita ayuda?

Nuestro equipo está disponible para ayudarle. Escríbanos a support@secure-exchanges.com.

Artículos relacionados

• ¿Qué hacer si encuentra un error de Microsoft durante la instalación o actualización de Secure Exchanges?
• ¿Cómo actualizo la herramienta de firma de Secure Exchanges?
• ¿Cómo instalo y activo Secure Exchanges para Outlook clásico?