home *** CD-ROM | disk | FTP | other *** search
/ zipcon.net / www.zipcon.net.tar / www.zipcon.net / pub / mail / both / procmailrc next >
Text File  |  2004-08-04  |  23KB  |  416 lines
  1. #VERBOSE=on      #Set on when debugging
  2. #LOGFILE=$HOME/proclog
  3. MAILDIR=$HOME/Maildir/
  4. DEFAULT=$HOME/Maildir/
  5. SPAM_FILE=$HOME/Maildir-spam/
  6. SUBJECT=`formail -x Subject:`
  7.  
  8. :0E
  9. * ? (echo $SUBJECT|fgrep SPAM)
  10. {
  11.   SUBJECT=""
  12.   :0
  13.   $SPAM_FILE
  14. }
  15.  
  16. #=============================================================================
  17. # Ryan's Anti-Virus Recipe
  18. #
  19. # Copyright (c) 2004 Ryan Grove (ryan@wonko.com). 
  20. # All rights reserved.
  21. #
  22. # Performs content-based (as opposed to signature-based) filtering for
  23. # common email viruses using Procmail scoring.
  24. #
  25. # Emails that don't contain attachments are passed through immediately. All 
  26. # other messages start with -500 points. Points are added for each test the
  27. # message fails. At the end of all the tests, if the message has a positive
  28. # score, "X-VirusPoints" and "X-VirusName" headers are added to it and it is
  29. # moved to the specified quarantine folder.
  30. #
  31. # All virus information was obtained from http://www.viruslist.com/.
  32. #
  33. # For updates, visit http://wonko.com/software/ravr/.
  34. #=============================================================================
  35.  
  36. ##############################################################################
  37. # User Configurable Settings
  38. ############################
  39.  
  40. # Folder in which to quarantine virus-infected emails.
  41. VFOLDER=$HOME/Maildir-spam/
  42.  
  43. ##############################################################################
  44. # End of User Configurable Settings
  45. ###################################
  46.  
  47. LINEBUF=32768
  48.  
  49. NL="
  50. "
  51.  
  52. :0B
  53. * (Content-Disposition: attachment|Content-Transfer-Encoding: base64)
  54. {
  55.     # Test virus
  56.  
  57.     :0WHBf
  58.     * -500^0
  59.     *  600^0 ^Subject: virusfiltertest
  60.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: Test" 
  61.  
  62.         :0 a:
  63.         $VFOLDER
  64.  
  65.     # I-Worm.Bagle.a
  66.     :0WHBf
  67.     * -500^0
  68.     *  100^0 ^Subject: Hi$
  69.     *  300^0 Test \=\)
  70.     *  300^0 Test, yep\.
  71.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.a" 
  72.  
  73.         :0 a:
  74.         $VFOLDER
  75.  
  76.     # I-Worm.Bagle.b
  77.     :0WHBf
  78.     * -500^0
  79.     *  300^0 ^Subject: ID [a-z]+\.\.\. thanks
  80.     *  300^0 Yours ID [a-z]+
  81.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.b" 
  82.     
  83.         :0 a:
  84.         $VFOLDER
  85.  
  86.     # I-Worm.Bagle.c
  87.     # I-Worm.Bagle.d
  88.     # I-Worm.Bagle.e
  89.     :0WHBf
  90.     * -500^0
  91.     *  300^0 (Cya|Empty|Everything inside the attach|Look it through|Request|Response|Subj)
  92.     *  300^0 ^Subject: (Hi!|New Price-list|Price|Price list|Price-list|Pricelist|Well...)
  93.     *  300^0 name=.*\.zip
  94.     *  400^0 ^Subject: (Accounts department|Ahtung!|Camila|Daily activity report|Flayers among us|Freedom for everyone|From (Hair-cutter|me)|Greet the day|Hardware devices price-list|Hello my friend|Jenny|Jessica|Looking for the report|Maria|Melissa|Monthly incomings summary|Proclivity to servitude|Registration confirmation|The (account|employee|summary)|USA government abolishes the capital punishment|Weekly activity report|Well\.\.\.|You are dismissed|You really love me\? he he)
  95.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.c/d/e" 
  96.     
  97.         :0 a:
  98.         $VFOLDER
  99.  
  100.     # I-Worm.Bagle.f
  101.     # I-Worm.Bagle.g
  102.     # I-Worm.Bagle.h
  103.     :0WHBf
  104.     * -500^0
  105.     *  200^0 ^Subject: :\)
  106.     *  300^0 (archive password:|password for archive:)
  107.     *  300^0 ^Subject: (Aline|Anne|Audra|Barbi|Caitie|caroline|Jammie|Juli|Julie|kate|Katrina|Kelley|kleopatra|Lisa|Mandy|Mary|Mary-Anne|rebecca|Rena|Sara|stacy|Tammy)
  108.     *  300^0 ^Subject: (Bad girl|beautiful|Fotograf|Gallery photos|groom|My beautiful person|My photos)
  109.     *  300^0 Argh,  i don't  like the plaintext :\)
  110.     *  300^0 Don''''t worry I don''''t bite
  111.     *  300^0 Fell free to chat with me I accept all ages.
  112.     *  300^0 Hey people whats goin on\? If there is anything you want to know about me ask me...
  113.     *  300^0 Hey, guys! by the way, I have no problems with my sexual life,
  114.     *  300^0 I am from Taiwan but I study in Camden, New Jersey now.
  115.     *  300^0 name=.*\.(exe|scr|zip)
  116.     *  400^0 ^Subject: (ello! =\)\)|Hey, dude, it's me \^_\^ :P|Hey, ya! =\)\)|Hi! :-\)|Hokki =\)|Wau... beautiful \(-:|Weah, hello! :-\)|Weeeeee! ;\)\)\))
  117.     *  400^0 ^Subject: (My Name is Frenk|My photoalbum|Myphotos|Photoalbum)
  118.     *  400^0 ^Subject: \^_\^ (meay-meay!|mew-mew \(-:)
  119.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.f/g/h" 
  120.     
  121.         :0 a:
  122.         $VFOLDER
  123.  
  124.     # I-Worm.Bagle.i
  125.     # I-Worm.Bagle.j
  126.     :0WHBf
  127.     * -500^0
  128.     *  200^0 (For more information|Further details|Advanced details|For details|For further details|Please,|Pay attention) (see the|can be obtained from|can be found in|read the|on)  (attached file|attach)
  129.     *  200^0 (the attached file is password protected|Attached file protected  with the password|In order to read the attach)
  130.     *  200^0 account has been temporarily disabled because of unauthorized access\.
  131.     *  200^0 Our antivirus software has detected a large ammount of viruses
  132.     *  200^0 Our main mailing server will be temporary unavailable for next two days,
  133.     *  200^0 Some of our clients complained about the spam \(negative e-mail content\)
  134.     *  200^0 We warn you about some attacks on your e-mail account\.
  135.     *  200^0 Your e-mail account will be disabled because of improper using
  136.     *  300^0 (Dear user of .*,|Hello user of .* e-mail server,|Dear user, the management of .* mailing system wants to let you know that,)
  137.     *  300^0 ^Subject: (E-mail|Email) account (security|utilization|disabling) warning
  138.     *  300^0 ^Subject: (Notify|Warning|Important notify) about (using the|your) e-mail account
  139.     *  300^0 name="(Attach|Information|Readme|Document|Info|TextDocument|TextFile|MoreInfo|Message)\.(exe|pif|zip)
  140.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.i/j" 
  141.     
  142.         :0 a:
  143.         $VFOLDER
  144.  
  145.     # I-Worm.Dumaru.a
  146.     :0WHBf
  147.     * -500^0
  148.     *  300^0 ^From: "Microsoft" <security@microsoft.com>
  149.     *  500^0 ^More than 500.000 already infected!
  150.     *  500^0 ^Subject: Use this patch immediately !
  151.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Dumaru.a" 
  152.     
  153.         :0 a:
  154.         $VFOLDER
  155.  
  156.     # I-Worm.Gibe
  157.     :0WHBf
  158.     * -500^0
  159.     *  200^0 (MS|Microsoft) (Client|Consumer|Customer|Partner|User)
  160.     *  200^0 name="(patch|install|q|update).*\.exe"
  161.     *  200^0 of all previously released patches\.
  162.     *  200^0 this is the latest version of security update, the
  163.     *  200^0 This update includes the functionality
  164.     *  500^0 200(3|4), Cumulative Patch"
  165.     *  500^0 MS Internet Explorer, MS Outlook and MS Outlook Express
  166.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Gibe" 
  167.     
  168.         :0 a:
  169.         $VFOLDER
  170.  
  171.     # I-Worm.Hybris
  172.     :0WHBf
  173.     * -500^0
  174.     *  300^0 ^From: Hahaha <hahaha@sexyfun.net>
  175.     *  300^0 ^Subject: Snowhite and the Seven Dwarfs - The REAL story!
  176.     *  300^0 Suddlently, the door open, and the Seven Dwarfs enter
  177.     *  300^0 The 7 Dwarfs always where very educated
  178.     *  300^0 Today, Snowhite was turning 18
  179.     *  300^0 When they go out work at mirnign, they promissed
  180.     *  500^0 filename="midgets\.scr"
  181.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Hybris" 
  182.     
  183.         :0 a:
  184.         $VFOLDER
  185.  
  186.     # I-Worm.Klez
  187.     :0WHBf
  188.     * -500^0
  189.     *  100^0 ^Subject: (how are you|let's be friends|darling|your password|honey|some questions|please try again)
  190.     *  100^0 name=.*\.(txt|htm|wab|asp|doc|rtf|xls|jpg|cpp|c|pas|mpg|mpeg|bak|mp3|pdf)
  191.     *  400^0 ^Subject: (so cool a flash,enjoy it|japanese girl VS playboy|look,my beautiful girl friend|spice girls' vocal concert|japanese lass' sexy pictures|Undeliverable mail --|Returned mail --)
  192.     *  500^0 ^Subject: (W32.Elkern|W32.Klez.E) removal tools
  193.     *  500^0 ^Subject: Worm Klez.E immunity
  194.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Klez" 
  195.     
  196.         :0 a:
  197.         $VFOLDER
  198.  
  199.     # I-Worm.Mimail
  200.     :0WHBf
  201.     * -500^0
  202.     *  100^0 ^Subject: your account
  203.     *  200^0 Please read attachment for details
  204.     *  200^0 This email address will be expiring
  205.     *  300^0 Best regards, Administrator
  206.     *  300^0 I would like to inform you about important information regarding your
  207.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail" 
  208.     
  209.         :0 a:
  210.         $VFOLDER
  211.  
  212.     # I-Worm.Mimail.c
  213.     :0WHBf
  214.     * -500^0
  215.     *  300^0 ^Subject: Re\[2\]: our private photos.+
  216.     *  300^0 All our photos which i've made at the beach \(even when u're without ur bh:\)\)
  217.     *  300^0 Finaly i've found possibility to right u, my lovely girl :\)
  218.     *  300^0 name="photos\.zip"
  219.     *  300^0 photos are great! This evening i'll come and we'll make the best SEX :\)
  220.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.c" 
  221.     
  222.         :0 a:
  223.         $VFOLDER
  224.  
  225.     # I-Worm.Mimail.h
  226.     # I-Worm.Mimail.k
  227.     :0WHBf
  228.     * -500^0
  229.     *  100^0 It's all written there\. See you\.
  230.     *  200^0 And yes, by the way here is the file you asked for
  231.     *  200^0 Will meet tonight as we agreed, because on Wednesday I don't think I'll make it
  232.     *  300^0 name="readnow\.zip"
  233.     *  300^0 WUNKoF6iXiGHHdIIpKYRqLLjPM2qIKxjsF422R57D7dNg8cut3ALFiIn2yqmdHgq/MwwWF9qCmg4
  234.     *  400^0 ^Subject: don't be late![ ]+
  235.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.h/k" 
  236.     
  237.         :0 a:
  238.         $VFOLDER
  239.  
  240.     # I-Worm.Mimail.i
  241.     :0WHBf
  242.     * -500^0
  243.     *  100^0 secure application within the next five business days then
  244.     *  100^0 services then you will need to run the application that we
  245.     *  100^0 will be expiring within five business days\. We apologize
  246.     *  200^0 ^From: donotreply@paypal\.com
  247.     *  300^0 ^Subject: YOUR PAYPAL\.COM ACCOUNT EXPIRES
  248.     *  400^0 name="www\.paypal\.com\.scr"
  249.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.i" 
  250.     
  251.         :0 a:
  252.         $VFOLDER
  253.  
  254.     # I-Worm.Mimail.j
  255.     :0WHBf
  256.     * -500^0
  257.     *   50^0 Dear PayPal member,
  258.     *  200^0 ^Subject: IMPORTANT
  259.     *  300^0 ^From: Do_Not_Reply@paypal\.com
  260.     *  300^0 name="(www\.paypal\.com\.pif|InfoUpdate\.exe)"
  261.     *  300^0 We regret to inform you that your account is about to be expired in next five business days
  262.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.j" 
  263.     
  264.         :0 a:
  265.         $VFOLDER
  266.  
  267.     # I-Worm.Moodown.b
  268.     :0WHBf
  269.     * -500^0
  270.     *  300^0 ^Subject: (fake|hello|hi|information|read it immediately|something for you|stolen|unknown|warning)
  271.     *  300^0 (about me|anything ok\?|AnythingOk\?|do you\?|from the chatter|greetings|here|here is the document\.|here it is|here, the (cheats|introduction|serials)|i found this document about you|I have your password!|i hope it is not true!|i wait for a reply!|i'm waiting|information about you|is that (from you|true|your account|your name)\?|kill the writer of this document!|misc|my hero|ok|read (it immediately!|the details\.)|reply|see you|something about you!|something is (fool|going wrong)|stuff about you\?|take it easy|that is bad|that's funny|thats wrong|what does it mean\?|why\?|yes, really\?|you (are a bad writer|are bad|earn money|feel the same|try to steal)|your name is wrong)
  272.     *  300^0 name=.*\.(exe|pif|scr)
  273.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Moodown.b" 
  274.     
  275.         :0 a:
  276.         $VFOLDER
  277.  
  278.     # I-Worm.Mydoom.b
  279.     :0WHBf
  280.     * -500^0
  281.     *  100^0 ^Subject: (test|hi|hello|Mail Delivery System|Mail Transaction Failed|Server Report|Status|Error)
  282.     *  300^0 Mail transaction failed\. Partial message is available\.
  283.     *  300^0 sendmail daemon reported: Error #804 occured during SMTP session\. Partial message has been received
  284.     *  300^0 The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment\.
  285.     *  300^0 The message contains MIME-encoded graphics and has been sent as a binary attachment
  286.     *  300^0 The message contains Unicode characters and has been sent asa binary attachment\.
  287.     *  400^0 name="(document|readme|doc|text|file|data|test|message|body|scdjjno)\.(pif|scr|exe|cmd|bat|zip)"
  288.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mydoom.b" 
  289.     
  290.         :0 a:
  291.         $VFOLDER
  292.  
  293.     # I-Worm.Mydoom.e
  294.     :0WHBf
  295.     * -500^0
  296.     *  200^0 (Greetings|See you|Here it is|You are bad|Take it|Reply|Please, reply|Okay|OK|Everything ok\?|Check the attached document|The document was sent in compressed format\.|Please see the attached file for details\.)
  297.     *  200^0 ^Subject: (hello|hi|Announcement|forget|bug|unknown|fake|Wanted)
  298.     *  200^0 name="(body|message|test|data|file|text|readme|document|doc|msg|photo|resume|image|object|website|friend|joke|approved|paypal|disc|misc|part|mail|list|story|about|money|check|product|notes|your_document|note|information|textfile|posting|post|stuff|attachment|creditcard|details)
  299.     *  300^0 (Details are in the attached document\. You need Microsoft Office to open it\. Information about you|We have received this document from your e-mail\.|Kill the writer of this document!|Something about you|I have your password :\)|You are a bad writer|Is that yours\?|Is that from you\?|I wait for your reply\.|Here is the document\.|Read the details\.|I'm waiting)
  300.     *  300^0 ^Subject: (read now!|recent news|Read this message|please read|please reply|Thank You very very much|You use illegal File Sharing...|Your IP was logged|Your account is about to be expired|Love is)
  301.     *  300^0 ^Subject: (Your (order|request) (was registered|is being processed)|Your credit card|Read it immediately|Something for you|For your information|You have 1 day left|Your account has expired)
  302.     *  300^0 name=.*\.(exe|scr|com|pif|bat|cmd|zip|doc|htm|rtf|xls|jpg|gif|png|txt)
  303.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mydoom.e" 
  304.     
  305.         :0 a:
  306.         $VFOLDER
  307.  
  308.     # I-Worm.Netsky.c
  309.     # I-Worm.Netsky.e
  310.     :0WHBf
  311.     * -500^0
  312.     *  200^0 ^Subject: (believe me|dear|Delivery Failed|denied!|error|exception|excuse me|fake\?|good morning|hello|Here is it|hey|hi|I'm back!|illegal\.\.\.|important|info|its me|last chance!|lol|moin|notice!|notification|private\?|Question|question|re:|Re: <5664ddff\?\$\?\?\?2>|Re: does it\?|Re: does it\?|Re: excuse me|Re: hello|Re: hey|Re: hi|Re: important|Re: information|Re: Re: Re: Re:|Re: unknown|read it immediatelly|report|something for you|Status|stolen|take it|trust me|warning|what's up\?|Yep|you\?)$
  313.     *  300^0 (\*lol\*|09580985869gj|\<\.\.\.\>|\<\<\<FAILURE\>\>\>|\<ANTISPAM complete\>|\<ATTACHMENT 34933920 Signature\>|\<ATTACHMENT Poland from\>|\<AUTOMAILER\>|\<CLICK decrypt to attachment the\>|\<DELIVER Error\>|\<FAILED available message\>|\<MAIL failed\>|\<MESSAGE Error\>|\<NULL\>|\<SERVER Error\>|\<TRANSFER complete\>|a crazy doc about you|abuse\?|account\?|already\?|another pic, have fun! \.\.\. :-\>|Antispam is turned off\. See file!|are you (a photographer\?|a teacherin the picture\?|cranky\?|the naked one\?|the naked person!|the one\?)|Attached Msg|attachi#|Authentification required\. Read the att\.\.\.|bad gateway|be mad\?|best\?|bob the builder|child or adult\?|child porn\?|classroom test of you\?|copyright\?|correct it!|did you (ask me for that\?|know from this document\?|know that\?|see her already\?|sent it to me\?)|do not (give up!|open the attachment!|show this anyone!|use my document!|visit the pages on the list I se\.\.\.)|do you have (an orgasm in the picture\?|sex in the picture\?|the bug also\?|\?)|do you (know the thief\?|know this\?\?\?\?|think so\?)|doc about me\?|doc\?|docs\?|does it (belong to you\?|match\?|matter\?)|drugs\? \.\.\.|excellent!|explain!|fast food\.\.\.|feel free to use it|File is (bad\.|damaged\.|self-decryting\.)|forgotten\?|from the chatter \(my photo!\)|from your lover ;-\)|gonna\?|good work!|great job!|great xxx!|great!|greetings|help attached|her\.|here is (it\.|my advice|my photo!|the \$%%454\$|the \<CENSORED\>|the document\.|the next one!|yours!)|here, the (cheats|introduction|serials)|how\?|I 've found your bill!|i am (desperate|speachless about your document!)|I don't (know your document!|think so\.|want your xxx pics!)|i found (that about you!|this document about you\.)|i have (received this\.|your password!)|i hope thats not true!|i know your document!|i like your doc!|i lost that|i need you!|i saw you last week!|I wait for (an answer!|your comment about it\.)|i want more\.\.\.|i've found it about you|illegal st\. of you\?|important\?|in your mind\?|incest\?|information about you\?|Instant patches|instruct me about this!|is that (criminal|possible|the reality|true)\?|is that your (account|attachment|beast|car|cd|creditcard|domain|family|finger|message|name|photo|porn pic|privacy|slip|TAN|website|wife|work)\?|is that yours\?|is the pic a fake\?|is this information about you\?|it's a secret!|it's so similar as yours!|its private from me|kill him on the picture!|kill the writer of this document!|let it!|lets talk about it!|Login required! Read the attachment!|love letter\?|man or women\?|meaning of that\?|message\?|Microsoft|misc\. and so on\. see you!|modifications\?|money\?|msg|my advice\.\.\.\.|never!|new patch is available!|ok\.\.\.|old photos about you\?|only encrypted!|pages\?|personal message!|picture\?|poor quality!|possible\?|pretty pic about you\?|pwd\?|read it immediately!|read the details\.|really\?|reply|scanned by norton antivirus|schoolfriend\?|see this!|see your name!|solve the problem!|something about you!|something is (going \.\.\.|going wrong!|not ok)|stuff about you\?|such as yours\?|take it easy!|tell me more about your document!|test it|that is interesting\.\.\.|that's a funny text\.|that's not the truth\?|thats wrong!|the information is wrong!|the truth\?|this file is bad!|this is (an attachment message!|nothing for kids!)|time to fear\?|Transaction failed\. Show the doc!|trial\?|try this patch!|Warning from the Government|what do you think about it\?|what means that\?|what still\?|what\?|who\?|why should I\?|why\?|wrong calculation! \(see the attachment!\.\.\.|xxx \?|xxx about you\?|xxx service|yes\.|you are (a bad writer|bad|infected\. Read the details!|naked in this document!|sexy in this doc!)|you cannot hide yourself! \(see photo\)|you earn money, see the attachment!|you feel the same\.|you have a sexy body in the pic!|you have done a mistake in the document\.\.\.|you have tried to steal!|you look like an (ape!rat\?)|you won the rk!|your account is expired!|your are naked\?|your attachment\? verify it\.|Your bill\.|your body\?|your design is not good!|your document is (not goodsilly!)|your eyes\?|your face\?|your hero in the picture\?|your icq number\?|your job\? \(I found that!\)|your lie is going around the world!|your name is wrong!|your personal record\?|your photo is poor|Your provider will be disabled!|your TAN number\?|yours\?)
  314.     *  300^0 name=.*\.(com|doc|exe|htm|pif|rtf|scr|txt|zip)
  315.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.c/e" 
  316.     
  317.         :0 a:
  318.         $VFOLDER
  319.         
  320.     # I-Worm.Netsky.d
  321.     :0WHBf
  322.     * -500^0
  323.     *  200^0 (Your document is attached.|Here is the file.|See the attached file for details.|Please have a look at the attached file|Please read the attached file.|Your file is attached.)
  324.     *  300^0 ^Subject: Re: (Thanks!|Your document|Here is the document|Your picture|Hi|Hello|Here|Your music|Your software|Approved|Details|Excel file|Word file|My details|Your details|Your bill|Your text|Your archive|Your letter|Your product|Your website)
  325.     *  300^0 ^Subject: Re: Re: (Document|Thanks!|Message)
  326.     *  300^0 ^Subject: Re: Re: Re: Your document
  327.     *  300^0 name=.*\.pif
  328.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.d" 
  329.     
  330.         :0 a:
  331.         $VFOLDER
  332.  
  333.     # I-Worm.Netsky.f
  334.     # I-Worm.Netsky.g
  335.     :0WHBf
  336.     * -500^0
  337.     *  300^0 ^Subject: Re: (Approved|Details|Document|Excel file|Hello|Here|Here is the document|Hi|My details|Re: (Document|Message|Re: Your document|Thanks!)|Thanks!|Word file|Your (archive|bill|details|document|letter|music|picture|product|software|text|website))
  338.     *  300^0 (Here is the file|Please (have a look at|read) the attached|See the attached file for details|Your (document|file) is attached)
  339.     *  300^0 name=.*\.(pif|zip)
  340.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.f/g" 
  341.     
  342.         :0 a:
  343.         $VFOLDER
  344.     
  345.     # I-Worm.Netsky.p
  346.     :0WHBf
  347.     * -500^0
  348.     *  300^2 (Congratulations!, your best friend|Do not visit this illegal websites!|For further details see that attachment|Greetings from france, your friend|Here is my phone number|I cannot believe that|I found this document about you|I have attached it to this mail|If the message will not displayed automatically,|follow the link to read the delivered message|Please confirm!|Protected message is available|Received message is available at:|Waiting for authentification|Your file is attached)
  349.     *  300^0 name=(details.*|document.*|message|message\.doc|old_photos\.txt|part.*|postcard_.*|websites.*|your_document)\.(pif|scr|zip)
  350.     *  200^0 ^Subject: (Mail Delivery \(failure .*\)|Postcard|(Private|Stolen) document|Re:(document|Extended Mail System|Hello|Notify|Proctected Mail System|Question))
  351.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.p" 
  352.     
  353.         :0 a:
  354.         $VFOLDER
  355.     
  356.     # I-Worm.Sircam
  357.     :0WHBf
  358.     * -500^0
  359.     *  300^0 (Hi! How are you\?|Hola como estas \?)
  360.     *  300^0 (See you later\. Thanks|Nos vemos pronto, gracias\.)
  361.     *  300^0 (Espero (me puedas ayudar con el archivo que te mando|te guste este archivo que te mando)|Este es el archivo con la informaci≤n que me pediste |I hope you (can help me with this file that I send|like the file that I send to you)|I send you this file in order to have your advice|Te mando este archivo para que me des tu punto de vista|This is the file with the information that you ask for)
  362.     *  300^0 name=.*\.(bat|com|doc|exe|lnk|pif|xls|zip)
  363.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Sircam" 
  364.     
  365.         :0 a:
  366.         $VFOLDER
  367.         
  368.     # I-Worm.Sobig.a
  369.     :0WHBf
  370.     * -500^0
  371.     *  300^0 ^From: big@boss\.com
  372.     *  300^0 ^Subject: Re: (Movies|Sample|Document|Here is that sample)
  373.     *  300^0 name="(Movie_0074\.mpeg|Document003|Untitled1|Sample)\.pif"
  374.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Sobig.a" 
  375.     
  376.         :0 a:
  377.         $VFOLDER
  378.  
  379.     # I-Worm.Sobig.f
  380.     :0WHBf
  381.     * -500^0
  382.     *   50^0 Please see the attached file for details
  383.     *   50^0 See the attached file for details
  384.     *  200^0 ^Subject: (Re: )?Thank you!
  385.     *  200^0 ^X-MailScanner: Found to be clean
  386.     *  400^0 ^Subject: (Re: )?That movie
  387.     *  400^0 ^Subject: (Re: )?Wicked screensaver
  388.     *  400^0 ^Subject: Re: Approved
  389.     *  400^0 ^Subject: Re: Details
  390.     *  400^0 ^Subject: Re: Re: My details
  391.     *  400^0 ^Subject: Re: Your application
  392.     *  400^0 ^Subject: Your details
  393.     *  400^0 name="(movie0045|wicked_scr|application|document_9446|details|your_details|thank_you|document_all|your_document)\.pif"
  394.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Sobig.f" 
  395.     
  396.         :0 a:
  397.         $VFOLDER
  398.  
  399.     # I-Worm.Torvil.a
  400.     :0WHBf
  401.     * -500^0
  402.     *  100^0 ^Subject: (Pr0n!|Undeliverable mail--|Returned mail--|here's the document|Hello,)
  403.     *  200^0 ^Subject: Who should read this bulletin: Users running Microsoft Windows
  404.     *  300^0 ^Subject: (Do not release, its the internal rls!|Here's a nice Picture|NewInternal RIs\.\.\.|here's the archive you requested)
  405.     *  300^0 dOnT gIvE iT aWaY\.\.\. iTs cOnFiDeNtIaL \=\)
  406.     *  300^0 It's Important that you apply this fix now since we estimate the Buffer
  407.     *  300^0 Overflow is at a Critical Level
  408.     *  300^0 Real outtakes from Sex in the City!! Adult content!!!
  409.     *  300^0 Vulnerability described in MS05-023
  410.     *  400^0 name="(Q723523_W9X_WXP_x86_EN|yourwin|probsolv|flt-xb5|document|sexinthecity|torvil|win\$shitrulez|sex|flt-ixb23|readit|document1)\.(bat|exe|jpg|pif|rar|scr|zip)"
  411.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Torvil.a" 
  412.     
  413.         :0 a:
  414.         $VFOLDER
  415. }
  416.