[LoryOne]

Che voi fa ?
Non tutti gli antimalware funzionano allo stesso modo.
Qualcuno lo identifica mentre esegui il download, altri (la maggior parte) quando il file è presente in locale.
Un file zippato può avere diversi livelli di compressione ai quali corrispondono diversi contenuti del file zippato, ma il malware all'interno rimane quello che è.
Sui server di posta l'allegato non è zippato (è in base64 se non sbaglio ed è indipendente dal pacchetto compresso) e non lo è neanche nella mail che giunge al client.
Poi deve essere dezippato/verificato o dezippato/eseguito in locale e li scatta un'altra allerta...

ps: comunque grazie xilo.