home *** CD-ROM | disk | FTP | other *** search
/ zipcon.net / www.zipcon.net.tar / www.zipcon.net / pub / mail / virus / procmailrc next >
Text File  |  2004-08-04  |  23KB  |  406 lines
  1. #VERBOSE=on      #Set on when debugging
  2. #LOGFILE=$HOME/proclog
  3. MAILDIR=$HOME/Maildir/
  4. DEFAULT=$HOME/Maildir/
  5.  
  6. #=============================================================================
  7. # Ryan's Anti-Virus Recipe
  8. #
  9. # Copyright (c) 2004 Ryan Grove (ryan@wonko.com). 
  10. # All rights reserved.
  11. #
  12. # Performs content-based (as opposed to signature-based) filtering for
  13. # common email viruses using Procmail scoring.
  14. #
  15. # Emails that don't contain attachments are passed through immediately. All 
  16. # other messages start with -500 points. Points are added for each test the
  17. # message fails. At the end of all the tests, if the message has a positive
  18. # score, "X-VirusPoints" and "X-VirusName" headers are added to it and it is
  19. # moved to the specified quarantine folder.
  20. #
  21. # All virus information was obtained from http://www.viruslist.com/.
  22. #
  23. # For updates, visit http://wonko.com/software/ravr/.
  24. #=============================================================================
  25.  
  26. ##############################################################################
  27. # User Configurable Settings
  28. ############################
  29.  
  30. # Folder in which to quarantine virus-infected emails.
  31. VFOLDER=$HOME/Maildir-spam/
  32.  
  33. ##############################################################################
  34. # End of User Configurable Settings
  35. ###################################
  36.  
  37. LINEBUF=32768
  38.  
  39. NL="
  40. "
  41.  
  42. :0B
  43. * (Content-Disposition: attachment|Content-Transfer-Encoding: base64)
  44. {
  45.     # Test virus
  46.  
  47.     :0WHBf
  48.     * -500^0
  49.     *  600^0 ^Subject: virusfiltertest
  50.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: Test" 
  51.  
  52.         :0 a:
  53.         $VFOLDER
  54.  
  55.     # I-Worm.Bagle.a
  56.     :0WHBf
  57.     * -500^0
  58.     *  100^0 ^Subject: Hi$
  59.     *  300^0 Test \=\)
  60.     *  300^0 Test, yep\.
  61.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.a" 
  62.  
  63.         :0 a:
  64.         $VFOLDER
  65.  
  66.     # I-Worm.Bagle.b
  67.     :0WHBf
  68.     * -500^0
  69.     *  300^0 ^Subject: ID [a-z]+\.\.\. thanks
  70.     *  300^0 Yours ID [a-z]+
  71.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.b" 
  72.     
  73.         :0 a:
  74.         $VFOLDER
  75.  
  76.     # I-Worm.Bagle.c
  77.     # I-Worm.Bagle.d
  78.     # I-Worm.Bagle.e
  79.     :0WHBf
  80.     * -500^0
  81.     *  300^0 (Cya|Empty|Everything inside the attach|Look it through|Request|Response|Subj)
  82.     *  300^0 ^Subject: (Hi!|New Price-list|Price|Price list|Price-list|Pricelist|Well...)
  83.     *  300^0 name=.*\.zip
  84.     *  400^0 ^Subject: (Accounts department|Ahtung!|Camila|Daily activity report|Flayers among us|Freedom for everyone|From (Hair-cutter|me)|Greet the day|Hardware devices price-list|Hello my friend|Jenny|Jessica|Looking for the report|Maria|Melissa|Monthly incomings summary|Proclivity to servitude|Registration confirmation|The (account|employee|summary)|USA government abolishes the capital punishment|Weekly activity report|Well\.\.\.|You are dismissed|You really love me\? he he)
  85.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.c/d/e" 
  86.     
  87.         :0 a:
  88.         $VFOLDER
  89.  
  90.     # I-Worm.Bagle.f
  91.     # I-Worm.Bagle.g
  92.     # I-Worm.Bagle.h
  93.     :0WHBf
  94.     * -500^0
  95.     *  200^0 ^Subject: :\)
  96.     *  300^0 (archive password:|password for archive:)
  97.     *  300^0 ^Subject: (Aline|Anne|Audra|Barbi|Caitie|caroline|Jammie|Juli|Julie|kate|Katrina|Kelley|kleopatra|Lisa|Mandy|Mary|Mary-Anne|rebecca|Rena|Sara|stacy|Tammy)
  98.     *  300^0 ^Subject: (Bad girl|beautiful|Fotograf|Gallery photos|groom|My beautiful person|My photos)
  99.     *  300^0 Argh,  i don't  like the plaintext :\)
  100.     *  300^0 Don''''t worry I don''''t bite
  101.     *  300^0 Fell free to chat with me I accept all ages.
  102.     *  300^0 Hey people whats goin on\? If there is anything you want to know about me ask me...
  103.     *  300^0 Hey, guys! by the way, I have no problems with my sexual life,
  104.     *  300^0 I am from Taiwan but I study in Camden, New Jersey now.
  105.     *  300^0 name=.*\.(exe|scr|zip)
  106.     *  400^0 ^Subject: (ello! =\)\)|Hey, dude, it's me \^_\^ :P|Hey, ya! =\)\)|Hi! :-\)|Hokki =\)|Wau... beautiful \(-:|Weah, hello! :-\)|Weeeeee! ;\)\)\))
  107.     *  400^0 ^Subject: (My Name is Frenk|My photoalbum|Myphotos|Photoalbum)
  108.     *  400^0 ^Subject: \^_\^ (meay-meay!|mew-mew \(-:)
  109.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.f/g/h" 
  110.     
  111.         :0 a:
  112.         $VFOLDER
  113.  
  114.     # I-Worm.Bagle.i
  115.     # I-Worm.Bagle.j
  116.     :0WHBf
  117.     * -500^0
  118.     *  200^0 (For more information|Further details|Advanced details|For details|For further details|Please,|Pay attention) (see the|can be obtained from|can be found in|read the|on)  (attached file|attach)
  119.     *  200^0 (the attached file is password protected|Attached file protected  with the password|In order to read the attach)
  120.     *  200^0 account has been temporarily disabled because of unauthorized access\.
  121.     *  200^0 Our antivirus software has detected a large ammount of viruses
  122.     *  200^0 Our main mailing server will be temporary unavailable for next two days,
  123.     *  200^0 Some of our clients complained about the spam \(negative e-mail content\)
  124.     *  200^0 We warn you about some attacks on your e-mail account\.
  125.     *  200^0 Your e-mail account will be disabled because of improper using
  126.     *  300^0 (Dear user of .*,|Hello user of .* e-mail server,|Dear user, the management of .* mailing system wants to let you know that,)
  127.     *  300^0 ^Subject: (E-mail|Email) account (security|utilization|disabling) warning
  128.     *  300^0 ^Subject: (Notify|Warning|Important notify) about (using the|your) e-mail account
  129.     *  300^0 name="(Attach|Information|Readme|Document|Info|TextDocument|TextFile|MoreInfo|Message)\.(exe|pif|zip)
  130.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Bagle.i/j" 
  131.     
  132.         :0 a:
  133.         $VFOLDER
  134.  
  135.     # I-Worm.Dumaru.a
  136.     :0WHBf
  137.     * -500^0
  138.     *  300^0 ^From: "Microsoft" <security@microsoft.com>
  139.     *  500^0 ^More than 500.000 already infected!
  140.     *  500^0 ^Subject: Use this patch immediately !
  141.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Dumaru.a" 
  142.     
  143.         :0 a:
  144.         $VFOLDER
  145.  
  146.     # I-Worm.Gibe
  147.     :0WHBf
  148.     * -500^0
  149.     *  200^0 (MS|Microsoft) (Client|Consumer|Customer|Partner|User)
  150.     *  200^0 name="(patch|install|q|update).*\.exe"
  151.     *  200^0 of all previously released patches\.
  152.     *  200^0 this is the latest version of security update, the
  153.     *  200^0 This update includes the functionality
  154.     *  500^0 200(3|4), Cumulative Patch"
  155.     *  500^0 MS Internet Explorer, MS Outlook and MS Outlook Express
  156.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Gibe" 
  157.     
  158.         :0 a:
  159.         $VFOLDER
  160.  
  161.     # I-Worm.Hybris
  162.     :0WHBf
  163.     * -500^0
  164.     *  300^0 ^From: Hahaha <hahaha@sexyfun.net>
  165.     *  300^0 ^Subject: Snowhite and the Seven Dwarfs - The REAL story!
  166.     *  300^0 Suddlently, the door open, and the Seven Dwarfs enter
  167.     *  300^0 The 7 Dwarfs always where very educated
  168.     *  300^0 Today, Snowhite was turning 18
  169.     *  300^0 When they go out work at mirnign, they promissed
  170.     *  500^0 filename="midgets\.scr"
  171.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Hybris" 
  172.     
  173.         :0 a:
  174.         $VFOLDER
  175.  
  176.     # I-Worm.Klez
  177.     :0WHBf
  178.     * -500^0
  179.     *  100^0 ^Subject: (how are you|let's be friends|darling|your password|honey|some questions|please try again)
  180.     *  100^0 name=.*\.(txt|htm|wab|asp|doc|rtf|xls|jpg|cpp|c|pas|mpg|mpeg|bak|mp3|pdf)
  181.     *  400^0 ^Subject: (so cool a flash,enjoy it|japanese girl VS playboy|look,my beautiful girl friend|spice girls' vocal concert|japanese lass' sexy pictures|Undeliverable mail --|Returned mail --)
  182.     *  500^0 ^Subject: (W32.Elkern|W32.Klez.E) removal tools
  183.     *  500^0 ^Subject: Worm Klez.E immunity
  184.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Klez" 
  185.     
  186.         :0 a:
  187.         $VFOLDER
  188.  
  189.     # I-Worm.Mimail
  190.     :0WHBf
  191.     * -500^0
  192.     *  100^0 ^Subject: your account
  193.     *  200^0 Please read attachment for details
  194.     *  200^0 This email address will be expiring
  195.     *  300^0 Best regards, Administrator
  196.     *  300^0 I would like to inform you about important information regarding your
  197.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail" 
  198.     
  199.         :0 a:
  200.         $VFOLDER
  201.  
  202.     # I-Worm.Mimail.c
  203.     :0WHBf
  204.     * -500^0
  205.     *  300^0 ^Subject: Re\[2\]: our private photos.+
  206.     *  300^0 All our photos which i've made at the beach \(even when u're without ur bh:\)\)
  207.     *  300^0 Finaly i've found possibility to right u, my lovely girl :\)
  208.     *  300^0 name="photos\.zip"
  209.     *  300^0 photos are great! This evening i'll come and we'll make the best SEX :\)
  210.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.c" 
  211.     
  212.         :0 a:
  213.         $VFOLDER
  214.  
  215.     # I-Worm.Mimail.h
  216.     # I-Worm.Mimail.k
  217.     :0WHBf
  218.     * -500^0
  219.     *  100^0 It's all written there\. See you\.
  220.     *  200^0 And yes, by the way here is the file you asked for
  221.     *  200^0 Will meet tonight as we agreed, because on Wednesday I don't think I'll make it
  222.     *  300^0 name="readnow\.zip"
  223.     *  300^0 WUNKoF6iXiGHHdIIpKYRqLLjPM2qIKxjsF422R57D7dNg8cut3ALFiIn2yqmdHgq/MwwWF9qCmg4
  224.     *  400^0 ^Subject: don't be late![ ]+
  225.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.h/k" 
  226.     
  227.         :0 a:
  228.         $VFOLDER
  229.  
  230.     # I-Worm.Mimail.i
  231.     :0WHBf
  232.     * -500^0
  233.     *  100^0 secure application within the next five business days then
  234.     *  100^0 services then you will need to run the application that we
  235.     *  100^0 will be expiring within five business days\. We apologize
  236.     *  200^0 ^From: donotreply@paypal\.com
  237.     *  300^0 ^Subject: YOUR PAYPAL\.COM ACCOUNT EXPIRES
  238.     *  400^0 name="www\.paypal\.com\.scr"
  239.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.i" 
  240.     
  241.         :0 a:
  242.         $VFOLDER
  243.  
  244.     # I-Worm.Mimail.j
  245.     :0WHBf
  246.     * -500^0
  247.     *   50^0 Dear PayPal member,
  248.     *  200^0 ^Subject: IMPORTANT
  249.     *  300^0 ^From: Do_Not_Reply@paypal\.com
  250.     *  300^0 name="(www\.paypal\.com\.pif|InfoUpdate\.exe)"
  251.     *  300^0 We regret to inform you that your account is about to be expired in next five business days
  252.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mimail.j" 
  253.     
  254.         :0 a:
  255.         $VFOLDER
  256.  
  257.     # I-Worm.Moodown.b
  258.     :0WHBf
  259.     * -500^0
  260.     *  300^0 ^Subject: (fake|hello|hi|information|read it immediately|something for you|stolen|unknown|warning)
  261.     *  300^0 (about me|anything ok\?|AnythingOk\?|do you\?|from the chatter|greetings|here|here is the document\.|here it is|here, the (cheats|introduction|serials)|i found this document about you|I have your password!|i hope it is not true!|i wait for a reply!|i'm waiting|information about you|is that (from you|true|your account|your name)\?|kill the writer of this document!|misc|my hero|ok|read (it immediately!|the details\.)|reply|see you|something about you!|something is (fool|going wrong)|stuff about you\?|take it easy|that is bad|that's funny|thats wrong|what does it mean\?|why\?|yes, really\?|you (are a bad writer|are bad|earn money|feel the same|try to steal)|your name is wrong)
  262.     *  300^0 name=.*\.(exe|pif|scr)
  263.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Moodown.b" 
  264.     
  265.         :0 a:
  266.         $VFOLDER
  267.  
  268.     # I-Worm.Mydoom.b
  269.     :0WHBf
  270.     * -500^0
  271.     *  100^0 ^Subject: (test|hi|hello|Mail Delivery System|Mail Transaction Failed|Server Report|Status|Error)
  272.     *  300^0 Mail transaction failed\. Partial message is available\.
  273.     *  300^0 sendmail daemon reported: Error #804 occured during SMTP session\. Partial message has been received
  274.     *  300^0 The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment\.
  275.     *  300^0 The message contains MIME-encoded graphics and has been sent as a binary attachment
  276.     *  300^0 The message contains Unicode characters and has been sent asa binary attachment\.
  277.     *  400^0 name="(document|readme|doc|text|file|data|test|message|body|scdjjno)\.(pif|scr|exe|cmd|bat|zip)"
  278.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mydoom.b" 
  279.     
  280.         :0 a:
  281.         $VFOLDER
  282.  
  283.     # I-Worm.Mydoom.e
  284.     :0WHBf
  285.     * -500^0
  286.     *  200^0 (Greetings|See you|Here it is|You are bad|Take it|Reply|Please, reply|Okay|OK|Everything ok\?|Check the attached document|The document was sent in compressed format\.|Please see the attached file for details\.)
  287.     *  200^0 ^Subject: (hello|hi|Announcement|forget|bug|unknown|fake|Wanted)
  288.     *  200^0 name="(body|message|test|data|file|text|readme|document|doc|msg|photo|resume|image|object|website|friend|joke|approved|paypal|disc|misc|part|mail|list|story|about|money|check|product|notes|your_document|note|information|textfile|posting|post|stuff|attachment|creditcard|details)
  289.     *  300^0 (Details are in the attached document\. You need Microsoft Office to open it\. Information about you|We have received this document from your e-mail\.|Kill the writer of this document!|Something about you|I have your password :\)|You are a bad writer|Is that yours\?|Is that from you\?|I wait for your reply\.|Here is the document\.|Read the details\.|I'm waiting)
  290.     *  300^0 ^Subject: (read now!|recent news|Read this message|please read|please reply|Thank You very very much|You use illegal File Sharing...|Your IP was logged|Your account is about to be expired|Love is)
  291.     *  300^0 ^Subject: (Your (order|request) (was registered|is being processed)|Your credit card|Read it immediately|Something for you|For your information|You have 1 day left|Your account has expired)
  292.     *  300^0 name=.*\.(exe|scr|com|pif|bat|cmd|zip|doc|htm|rtf|xls|jpg|gif|png|txt)
  293.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Mydoom.e" 
  294.     
  295.         :0 a:
  296.         $VFOLDER
  297.  
  298.     # I-Worm.Netsky.c
  299.     # I-Worm.Netsky.e
  300.     :0WHBf
  301.     * -500^0
  302.     *  200^0 ^Subject: (believe me|dear|Delivery Failed|denied!|error|exception|excuse me|fake\?|good morning|hello|Here is it|hey|hi|I'm back!|illegal\.\.\.|important|info|its me|last chance!|lol|moin|notice!|notification|private\?|Question|question|re:|Re: <5664ddff\?\$\?\?\?2>|Re: does it\?|Re: does it\?|Re: excuse me|Re: hello|Re: hey|Re: hi|Re: important|Re: information|Re: Re: Re: Re:|Re: unknown|read it immediatelly|report|something for you|Status|stolen|take it|trust me|warning|what's up\?|Yep|you\?)$
  303.     *  300^0 (\*lol\*|09580985869gj|\<\.\.\.\>|\<\<\<FAILURE\>\>\>|\<ANTISPAM complete\>|\<ATTACHMENT 34933920 Signature\>|\<ATTACHMENT Poland from\>|\<AUTOMAILER\>|\<CLICK decrypt to attachment the\>|\<DELIVER Error\>|\<FAILED available message\>|\<MAIL failed\>|\<MESSAGE Error\>|\<NULL\>|\<SERVER Error\>|\<TRANSFER complete\>|a crazy doc about you|abuse\?|account\?|already\?|another pic, have fun! \.\.\. :-\>|Antispam is turned off\. See file!|are you (a photographer\?|a teacherin the picture\?|cranky\?|the naked one\?|the naked person!|the one\?)|Attached Msg|attachi#|Authentification required\. Read the att\.\.\.|bad gateway|be mad\?|best\?|bob the builder|child or adult\?|child porn\?|classroom test of you\?|copyright\?|correct it!|did you (ask me for that\?|know from this document\?|know that\?|see her already\?|sent it to me\?)|do not (give up!|open the attachment!|show this anyone!|use my document!|visit the pages on the list I se\.\.\.)|do you have (an orgasm in the picture\?|sex in the picture\?|the bug also\?|\?)|do you (know the thief\?|know this\?\?\?\?|think so\?)|doc about me\?|doc\?|docs\?|does it (belong to you\?|match\?|matter\?)|drugs\? \.\.\.|excellent!|explain!|fast food\.\.\.|feel free to use it|File is (bad\.|damaged\.|self-decryting\.)|forgotten\?|from the chatter \(my photo!\)|from your lover ;-\)|gonna\?|good work!|great job!|great xxx!|great!|greetings|help attached|her\.|here is (it\.|my advice|my photo!|the \$%%454\$|the \<CENSORED\>|the document\.|the next one!|yours!)|here, the (cheats|introduction|serials)|how\?|I 've found your bill!|i am (desperate|speachless about your document!)|I don't (know your document!|think so\.|want your xxx pics!)|i found (that about you!|this document about you\.)|i have (received this\.|your password!)|i hope thats not true!|i know your document!|i like your doc!|i lost that|i need you!|i saw you last week!|I wait for (an answer!|your comment about it\.)|i want more\.\.\.|i've found it about you|illegal st\. of you\?|important\?|in your mind\?|incest\?|information about you\?|Instant patches|instruct me about this!|is that (criminal|possible|the reality|true)\?|is that your (account|attachment|beast|car|cd|creditcard|domain|family|finger|message|name|photo|porn pic|privacy|slip|TAN|website|wife|work)\?|is that yours\?|is the pic a fake\?|is this information about you\?|it's a secret!|it's so similar as yours!|its private from me|kill him on the picture!|kill the writer of this document!|let it!|lets talk about it!|Login required! Read the attachment!|love letter\?|man or women\?|meaning of that\?|message\?|Microsoft|misc\. and so on\. see you!|modifications\?|money\?|msg|my advice\.\.\.\.|never!|new patch is available!|ok\.\.\.|old photos about you\?|only encrypted!|pages\?|personal message!|picture\?|poor quality!|possible\?|pretty pic about you\?|pwd\?|read it immediately!|read the details\.|really\?|reply|scanned by norton antivirus|schoolfriend\?|see this!|see your name!|solve the problem!|something about you!|something is (going \.\.\.|going wrong!|not ok)|stuff about you\?|such as yours\?|take it easy!|tell me more about your document!|test it|that is interesting\.\.\.|that's a funny text\.|that's not the truth\?|thats wrong!|the information is wrong!|the truth\?|this file is bad!|this is (an attachment message!|nothing for kids!)|time to fear\?|Transaction failed\. Show the doc!|trial\?|try this patch!|Warning from the Government|what do you think about it\?|what means that\?|what still\?|what\?|who\?|why should I\?|why\?|wrong calculation! \(see the attachment!\.\.\.|xxx \?|xxx about you\?|xxx service|yes\.|you are (a bad writer|bad|infected\. Read the details!|naked in this document!|sexy in this doc!)|you cannot hide yourself! \(see photo\)|you earn money, see the attachment!|you feel the same\.|you have a sexy body in the pic!|you have done a mistake in the document\.\.\.|you have tried to steal!|you look like an (ape!rat\?)|you won the rk!|your account is expired!|your are naked\?|your attachment\? verify it\.|Your bill\.|your body\?|your design is not good!|your document is (not goodsilly!)|your eyes\?|your face\?|your hero in the picture\?|your icq number\?|your job\? \(I found that!\)|your lie is going around the world!|your name is wrong!|your personal record\?|your photo is poor|Your provider will be disabled!|your TAN number\?|yours\?)
  304.     *  300^0 name=.*\.(com|doc|exe|htm|pif|rtf|scr|txt|zip)
  305.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.c/e" 
  306.     
  307.         :0 a:
  308.         $VFOLDER
  309.         
  310.     # I-Worm.Netsky.d
  311.     :0WHBf
  312.     * -500^0
  313.     *  200^0 (Your document is attached.|Here is the file.|See the attached file for details.|Please have a look at the attached file|Please read the attached file.|Your file is attached.)
  314.     *  300^0 ^Subject: Re: (Thanks!|Your document|Here is the document|Your picture|Hi|Hello|Here|Your music|Your software|Approved|Details|Excel file|Word file|My details|Your details|Your bill|Your text|Your archive|Your letter|Your product|Your website)
  315.     *  300^0 ^Subject: Re: Re: (Document|Thanks!|Message)
  316.     *  300^0 ^Subject: Re: Re: Re: Your document
  317.     *  300^0 name=.*\.pif
  318.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.d" 
  319.     
  320.         :0 a:
  321.         $VFOLDER
  322.  
  323.     # I-Worm.Netsky.f
  324.     # I-Worm.Netsky.g
  325.     :0WHBf
  326.     * -500^0
  327.     *  300^0 ^Subject: Re: (Approved|Details|Document|Excel file|Hello|Here|Here is the document|Hi|My details|Re: (Document|Message|Re: Your document|Thanks!)|Thanks!|Word file|Your (archive|bill|details|document|letter|music|picture|product|software|text|website))
  328.     *  300^0 (Here is the file|Please (have a look at|read) the attached|See the attached file for details|Your (document|file) is attached)
  329.     *  300^0 name=.*\.(pif|zip)
  330.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.f/g" 
  331.     
  332.         :0 a:
  333.         $VFOLDER
  334.     
  335.     # I-Worm.Netsky.p
  336.     :0WHBf
  337.     * -500^0
  338.     *  300^2 (Congratulations!, your best friend|Do not visit this illegal websites!|For further details see that attachment|Greetings from france, your friend|Here is my phone number|I cannot believe that|I found this document about you|I have attached it to this mail|If the message will not displayed automatically,|follow the link to read the delivered message|Please confirm!|Protected message is available|Received message is available at:|Waiting for authentification|Your file is attached)
  339.     *  300^0 name=(details.*|document.*|message|message\.doc|old_photos\.txt|part.*|postcard_.*|websites.*|your_document)\.(pif|scr|zip)
  340.     *  200^0 ^Subject: (Mail Delivery \(failure .*\)|Postcard|(Private|Stolen) document|Re:(document|Extended Mail System|Hello|Notify|Proctected Mail System|Question))
  341.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Netsky.p" 
  342.     
  343.         :0 a:
  344.         $VFOLDER
  345.     
  346.     # I-Worm.Sircam
  347.     :0WHBf
  348.     * -500^0
  349.     *  300^0 (Hi! How are you\?|Hola como estas \?)
  350.     *  300^0 (See you later\. Thanks|Nos vemos pronto, gracias\.)
  351.     *  300^0 (Espero (me puedas ayudar con el archivo que te mando|te guste este archivo que te mando)|Este es el archivo con la informaci≤n que me pediste |I hope you (can help me with this file that I send|like the file that I send to you)|I send you this file in order to have your advice|Te mando este archivo para que me des tu punto de vista|This is the file with the information that you ask for)
  352.     *  300^0 name=.*\.(bat|com|doc|exe|lnk|pif|xls|zip)
  353.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Sircam" 
  354.     
  355.         :0 a:
  356.         $VFOLDER
  357.         
  358.     # I-Worm.Sobig.a
  359.     :0WHBf
  360.     * -500^0
  361.     *  300^0 ^From: big@boss\.com
  362.     *  300^0 ^Subject: Re: (Movies|Sample|Document|Here is that sample)
  363.     *  300^0 name="(Movie_0074\.mpeg|Document003|Untitled1|Sample)\.pif"
  364.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Sobig.a" 
  365.     
  366.         :0 a:
  367.         $VFOLDER
  368.  
  369.     # I-Worm.Sobig.f
  370.     :0WHBf
  371.     * -500^0
  372.     *   50^0 Please see the attached file for details
  373.     *   50^0 See the attached file for details
  374.     *  200^0 ^Subject: (Re: )?Thank you!
  375.     *  200^0 ^X-MailScanner: Found to be clean
  376.     *  400^0 ^Subject: (Re: )?That movie
  377.     *  400^0 ^Subject: (Re: )?Wicked screensaver
  378.     *  400^0 ^Subject: Re: Approved
  379.     *  400^0 ^Subject: Re: Details
  380.     *  400^0 ^Subject: Re: Re: My details
  381.     *  400^0 ^Subject: Re: Your application
  382.     *  400^0 ^Subject: Your details
  383.     *  400^0 name="(movie0045|wicked_scr|application|document_9446|details|your_details|thank_you|document_all|your_document)\.pif"
  384.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Sobig.f" 
  385.     
  386.         :0 a:
  387.         $VFOLDER
  388.  
  389.     # I-Worm.Torvil.a
  390.     :0WHBf
  391.     * -500^0
  392.     *  100^0 ^Subject: (Pr0n!|Undeliverable mail--|Returned mail--|here's the document|Hello,)
  393.     *  200^0 ^Subject: Who should read this bulletin: Users running Microsoft Windows
  394.     *  300^0 ^Subject: (Do not release, its the internal rls!|Here's a nice Picture|NewInternal RIs\.\.\.|here's the archive you requested)
  395.     *  300^0 dOnT gIvE iT aWaY\.\.\. iTs cOnFiDeNtIaL \=\)
  396.     *  300^0 It's Important that you apply this fix now since we estimate the Buffer
  397.     *  300^0 Overflow is at a Critical Level
  398.     *  300^0 Real outtakes from Sex in the City!! Adult content!!!
  399.     *  300^0 Vulnerability described in MS05-023
  400.     *  400^0 name="(Q723523_W9X_WXP_x86_EN|yourwin|probsolv|flt-xb5|document|sexinthecity|torvil|win\$shitrulez|sex|flt-ixb23|readit|document1)\.(bat|exe|jpg|pif|rar|scr|zip)"
  401.     |formail -I "X-VirusPoints: $= ${NL}X-VirusName: I-Worm.Torvil.a" 
  402.     
  403.         :0 a:
  404.         $VFOLDER
  405. }
  406.