Secure Exchanges rencontre une erreur à la mise à jour

Que faire en cas d'erreur Microsoft Office lors de la mise à jour de Secure Exchanges (blocage ASR) ?


1. Contexte

Microsoft Defender inclut une règle de sécurité appelée Block executable content from email client and webmail qui bloque les contenus exécutables provenant des clients de messagerie. Cette règle bloque tous les contenus considérés comme exécutables lorsqu'ils proviennent d'un courriel ou d'un client de messagerie (Outlook, webmail, etc.).
InfoSecure Exchanges utilise ClickOnce pour déployer les mises à jour dans C:\Users\[username]\AppData\Local\Apps\2.0\
Paramètres de la règle ASR :
Paramètre
Valeur
Nom de la règle
Block executable content from email client and webmail
GUID
BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550
Nom Intune
Execution of executable content (exe, dll, ps, js, vbs, etc.) dropped from email (webmail/mail client) (no exceptions)
Notes
Le blocage survient au moment de la mise à jour du connecteur Secure Exchanges, pas à l'installation initiale.

2. Identifier le blocage dans Microsoft Defender

2.1 Requête Kusto (Advanced Hunting)

Pour confirmer que la règle ASR est responsable du problème, utilisez la requête suivante dans Microsoft 365 Defender > Advanced Hunting :


Quote
DeviceEvents
| where ActionType == "AsrExecutableEmailContentBlocked"
| where FileName contains "SecureExchanges"
| project Timestamp, DeviceName, FileName, FolderPath, SHA256
| order by Timestamp desc

2.2 Résultat typique

Dans les résultats, vous verrez :
  1. ActionType : AsrExecutableEmailContentBlocked
  2. FileName : SecureExchangesSDK.dll
  3. FolderPath : C:\Users\[username]\AppData\Local\Apps\2.0\...

3. Pourquoi SecureExchangesSDK.dll est bloquée ?

Secure Exchanges utilise un composant logiciel (DLL) pour :
  1. Gérer la communication sécurisée entre Outlook et le serveur
  2. Valider les actions effectuées dans Outlook (envoi de messages chiffrés)
  3. Traiter les messages chiffrés/déchiffrés
Info
Ce n'est pas une menace réelle. C'est un faux positif courant dans les environnements sécurisés.

4. Principe de sécurité : exclusions ciblées

Alert
N'excluez JAMAIS tout le dossier C:\Users\*\AppData\Local\Apps\2.0\
ClickOnce stocke TOUTES les applications déployées via ClickOnce dans ce dossier. En excluant ce dossier, vous :
  1. Désactivez la protection ASR pour toutes les applications ClickOnce
  2. Créez une faille de sécurité majeure
  3. Permettez à un attaquant de déployer du malware via ClickOnce sans détection

5. Comprendre les types d'exclusions ASR

Warning
Point crucial : Le type d'exclusion dépend de votre outil de gestion. Cette distinction est essentielle pour la sécurité.
Outil
Type d'exclusion
Impact
Intune / MDE
Per-rule
Exclusion appliquée UNIQUEMENT à la règle spécifique. 
GPO
Globale
Exclusion appliquée à TOUTES les règles ASR actives.
MECM / SCCM
Globale
Exclusion appliquée à TOUTES les règles ASR actives.
PowerShell
Globale
Exclusion appliquée à TOUTES les règles ASR actives.

6. Fichiers à exclure

Les chemins suivants doivent être ajoutés aux exclusions :

DLL Secure Exchanges 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\SecureExchangesSDK.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\OSecureExchange.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\*\OSecureExchange.resources.dll 

  

C:\Users\*\AppData\Local\Apps\2.0\*\*\SecureExchangesSDK.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\OSecureExchange.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\SecureExchangesSDK.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\OSecureExchange.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\OSecureExchange.resources.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\*\OSecureExchange.resources.dll 

 

Bibliothèques PDF (iText et PdfPig) 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.*.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\UglyToad.PdfPig*.dll 

  

C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\UglyToad.PdfPig*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\itext.*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\UglyToad.PdfPig*.dll 

 

DLL tierces 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\BouncyCastle.Cryptography.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\CsvHelper.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\Newtonsoft.Json.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\PhoneNumbers.dll 

  

C:\Users\*\AppData\Local\Apps\2.0\*\*\BouncyCastle.Cryptography.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\CsvHelper.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\Newtonsoft.Json.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\PhoneNumbers.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\BouncyCastle.Cryptography.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\CsvHelper.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\Newtonsoft.Json.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\PhoneNumbers.dll 

 

Runtime .NET et VSTO (nouvelle section) 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\Microsoft.*.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\System.*.dll 

C:\Users\*\AppData\Local\Temp\Deployment\*\*\netstandard.dll 

  

C:\Users\*\AppData\Local\Apps\2.0\*\*\Microsoft.*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\System.*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\netstandard.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\Microsoft.*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\System.*.dll 

C:\Users\*\AppData\Local\Apps\2.0\*\*\*\netstandard.dll 


Info
Les wildcards multiples (*\*\) sont nécessaires pour couvrir la structure de dossiers variable de ClickOnce.

A. Application via Intune

Info
Idea
Intune permet de configurer des exclusions par règle (ASR Only Per Rule Exclusions), limitant l'impact sur la sécurité globale.
  1. Accédez à Endpoint Security → Attack Surface Reduction
  2. Sélectionnez ou créez une politique ASR
  3. Localisez la règle « Block executable content from email client and webmail »
  4. Dans ASR Only Per Rule Exclusions, ajoutez les chemins de la section 6
  5. Enregistrez et déployez la politique

B. Application via GPO (déploiement en entreprise)

Info
Les exclusions configurées via GPO s'appliquent à TOUTES les règles ASR, pas uniquement à la règle concernée. 
  1. Ouvrir gpedit.msc (ou GPMC pour un domaine)
  2. Naviguer vers : Configuration ordinateur → Modèles d'administration → Composants Windows → Antivirus Microsoft Defender → Microsoft Defender Exploit Guard → Réduction de la surface d'attaque
  3. Double-cliquer sur « Exclure des fichiers et des chemins d'accès des règles de réduction de la surface d'attaque »
  4. Activer la stratégie et ajouter les chemins de la section 6
  5. Appliquer la stratégie : gpupdate /force

C. Application via PowerShell

Info
Comme pour GPO, les exclusions PowerShell sont GLOBALES et s'appliquent à toutes les règles ASR.
Ajouter une exclusion :

$dlls = @( 

    "SecureExchangesSDK.dll", "OSecureExchange.dll", 

    "itext.*.dll", "UglyToad.PdfPig*.dll", 

    "BouncyCastle.Cryptography.dll", "CsvHelper.dll", 

    "Newtonsoft.Json.dll", "PhoneNumbers.dll", 

    "Microsoft.*.dll", "System.*.dll", "netstandard.dll" 

) 

$prefixes = @( 

    "C:\Users\*\AppData\Local\Temp\Deployment\*\*", 

    "C:\Users\*\AppData\Local\Apps\2.0\*\*", 

    "C:\Users\*\AppData\Local\Apps\2.0\*\*\*" 

) 

foreach ($p in $prefixes) { 

    foreach ($d in $dlls) { 

        Add-MpPreference -AttackSurfaceReductionOnlyExclusions "$p\$d" 

    } 

} 

# Ressources localisées (sous-dossier de culture, ex. fr-CA) 

Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Users\*\AppData\Local\Temp\Deployment\*\*\*\OSecureExchange.resources.dll" 

Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Users\*\AppData\Local\Apps\2.0\*\*\*\OSecureExchange.resources.dll" 

Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Users\*\AppData\Local\Apps\2.0\*\*\*\*\OSecureExchange.resources.dll" 

Vérifier les exclusions actuelles :

Quote
Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionOnlyExclusions

7. Vérifier que l'exception fonctionne

  1. Attendre la propagation (jusqu'à 90 minutes pour GPO/Intune)
  2. Tester une mise à jour de Secure Exchanges sur un poste *Se fait automatiquement au redémarrage de Outlook
  3. Vérifier dans Advanced Hunting si de nouveaux blocages apparaissent
  4. Si aucun résultat → L'exclusion fonctionne correctement

Si le problème persiste

Causes possibles :
  1. L'exclusion n'a pas été appliquée correctement (vérifier la syntaxe)
  2. La GPO/Intune n'est pas encore propagée
  3. Un conflit avec une autre politique de sécurité
Actions de dépannage :
  1. Relancer la requête Kusto pour identifier tous les fichiers bloqués
  2. Vérifier si de nouvelles DLL sont bloquées et les ajouter aux exclusions
  3. Vérifier l'application des GPO : gpresult /h C:\temp\rapport_gpo.html
  4. Forcer une mise à jour : gpupdate /force

Références Microsoft 

  1. Utiliser des règles de réduction de la surface d’attaque pour empêcher l’infection des programmes malveillants - Microsoft Defender for Endpoint | Microsoft Learn
  2. Informations de référence sur les règles de réduction de la surface d’attaque - Microsoft Defender for Endpoint | Microsoft Learn