Мы выяснили это.
Более новые сертификаты подписи кода имеют компонент SHA-256.В этом случае signtool.exe, который отлично работает на XP / Server2003 с чистым сертификатом подписи кода SHA-1, перестает работать.
Ответ таков: отбросьте старую систему сборки и перейдите на Win10 /Сервер 2016.