Классический антивирус тут действительно слабое место – он видит только известные угрозы. Для таких случаев обычно ставят песочницу, которая запускает файл в изолированной среде и смотрит на его реальное поведение: какие процессы стартуют, куда идут обращения по сети и т.д. Мы себе внедряли pt sandbox – она встраивается в почтовый шлюз, и подозрительные вложения проверяются автоматически, без ручной возни аналитика с каждым файлом.