🚀 go-pugleaf

W dniu 21.02.2019 o 09:06, Piotr Lechowicz pisze:
> W dniu 2019-02-20 o 10:09, LFC pisze:
>> Już wczesniej miałem w spamassasinie regułę dla spamu z fałszywimi
>> fakturami rar, zip, itd. i wyglądało to tak:
>>
>> # false invoice
>>
>> mimeheader FALSE_INV    Content-Type =~
>> /faktur(\w|\s|\D)*\.(rar|zip|tar|js)/ei
>>
>> describe FALSE_INV    Spam z wirusami
>>
>> score    FALSE_INV     4.8
>>
>> I działało to nieźle, ale ostatnio pojawiły się poczty, niby z Play i
>> T-Mobile,rozpowszechniane głównie z tlen.pl też z załącznikami rar,
>> ale ta reguła ich nie łapie
>> Próbowąłem dodać ją również ją na header i body, ale nic to nie daje.
>> Żródła wiadomości pokazują, że linii Content-Type jest ze cztery albo
>> pięć we wiadomości.
>> Ktoś już może wyciął to gówno regex-milterem lub spamassassinem i
>> poratuje?
>>
>> LFC
>
> Miałem na razie 2 sztuki - mała próbka, ale wspólne punkty są:
>
> 1.
> W treści maila załączniki są inaczej osadzone niż w twojej regule:
>
> Nazwa załącznika jest w Content-Disposition i jest zakodowana:
>> Content-Disposition: attachment;
>> filename="=?utf-8?b?RkFLVFVSQS1GXzQxOTAzNDAxXzAyXzE5LnJhcg==?="
> Po naszemu: FAKTURA-F_41808401_02_19.rar
>
> Sam Content-Type jest inny:
>> Content-Type: application/vnd.rar
>
>
> 2.
> Można by spróbować po kombinacji nagłówków:
>> User-Agent: GWP-Draft
>> X-FactoryStamp: HA--
>> X-Draft-Variant: new
>> X-Draft-Contenttype: text/html
>
>

Podoba mi się końcówka stringu z filename, bo zdaje się powtórzyła się 
wkażdej z tych poczt:
=?utf-8?b?RkFLVFVSQS1GXzQxOTAzNDAxXzAyXzE5LnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQxODA4NDAxXzAyXzE5LnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQwMzQ4OTAzXzAyXzE5LUtPTlRPXzQ1Mjk4MTMyLnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQwMzQ4OTAzXzAyXzE5LUtPTlRPXzQ1Mjk4MTMyLnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQwMzQ4OTAzXzAyXzE5LUtPTlRPXzQ1Mjk4MTMyLnJhcg==?=

Te krótsze stringi sa z poczt sygnowanych jako T-Mobile, a długie z Play
Dorzuciłem do spamassasina to vnd.rar jako Content-Type, ale nie zadziałało.

LFC