При желании в сети можно найти большое количество вирусных коллекций. По понятным причинам ссылки дать не могу. Для тестирования базового функционала хватит и eicar.
Отправить письмо с вирусом немного сложнее. Для этого нужен либо свой smtp-сервер, либо почта, не проверяющая исходящие письма. Для первого варианта есть множество программ типа mini-Relay smtp server. Могут быть нюансы, если провайдер блокирует smtp-порт, но всё решаемо/настраиваемо. Для второго варианта из популярных почтовиков, вроде, Protonmail не проверяет исходящие.
Да, если тестируется локальный outlook, нужно чтобы и на сервере входящей почты не было проверок, иначе задача не решаема.