Пару лет назад гугл разгитхабил крутую внутреннюю тулу на счастье всем ИБ'шникам. Да и не им только, если подумать. Штука называется magika и она умеет парсить содержимое файлов, определяя их реальное содержимое То есть, все вот эти старые как мир трюки про "Я всего лишь картинка, но при открытии запускаю ещё три вшитых бинаря" можно детектить на лету. К чему это я вообще? Да просто вспомнилось.

https://github.com/google/magika