🚀 go-pugleaf

W dniu 2019-02-20 o 10:09, LFC pisze:
> Już wczesniej miałem w spamassasinie regułę dla spamu z fałszywimi fakturami rar, zip, itd. i wyglądało to tak:
> 
> # false invoice
> 
> mimeheader FALSE_INV    Content-Type =~ /faktur(\w|\s|\D)*\.(rar|zip|tar|js)/ei
> 
> describe FALSE_INV    Spam z wirusami
> 
> score    FALSE_INV     4.8
> 
> I działało to nieźle, ale ostatnio pojawiły się poczty, niby z Play i T-Mobile,rozpowszechniane głównie z tlen.pl też z załącznikami rar, ale ta reguła ich nie łapie
> Próbowąłem dodać ją również ją na header i body, ale nic to nie daje.
> Żródła wiadomości pokazują, że linii Content-Type jest ze cztery albo pięć we wiadomości.
> Ktoś już może wyciął to gówno regex-milterem lub spamassassinem i poratuje?
> 
> LFC

Miałem na razie 2 sztuki - mała próbka, ale wspólne punkty są:

1.
W treści maila załączniki są inaczej osadzone niż w twojej regule:

Nazwa załącznika jest w Content-Disposition i jest zakodowana:
> Content-Disposition: attachment; filename="=?utf-8?b?RkFLVFVSQS1GXzQxOTAzNDAxXzAyXzE5LnJhcg==?="
Po naszemu: FAKTURA-F_41808401_02_19.rar

Sam Content-Type jest inny:
> Content-Type: application/vnd.rar


2.
Można by spróbować po kombinacji nagłówków:
> User-Agent: GWP-Draft
> X-FactoryStamp: HA--
> X-Draft-Variant: new
> X-Draft-Contenttype: text/html

W dniu 21.02.2019 o 09:06, Piotr Lechowicz pisze:
> W dniu 2019-02-20 o 10:09, LFC pisze:
>> Już wczesniej miałem w spamassasinie regułę dla spamu z fałszywimi
>> fakturami rar, zip, itd. i wyglądało to tak:
>>
>> # false invoice
>>
>> mimeheader FALSE_INV    Content-Type =~
>> /faktur(\w|\s|\D)*\.(rar|zip|tar|js)/ei
>>
>> describe FALSE_INV    Spam z wirusami
>>
>> score    FALSE_INV     4.8
>>
>> I działało to nieźle, ale ostatnio pojawiły się poczty, niby z Play i
>> T-Mobile,rozpowszechniane głównie z tlen.pl też z załącznikami rar,
>> ale ta reguła ich nie łapie
>> Próbowąłem dodać ją również ją na header i body, ale nic to nie daje.
>> Żródła wiadomości pokazują, że linii Content-Type jest ze cztery albo
>> pięć we wiadomości.
>> Ktoś już może wyciął to gówno regex-milterem lub spamassassinem i
>> poratuje?
>>
>> LFC
>
> Miałem na razie 2 sztuki - mała próbka, ale wspólne punkty są:
>
> 1.
> W treści maila załączniki są inaczej osadzone niż w twojej regule:
>
> Nazwa załącznika jest w Content-Disposition i jest zakodowana:
>> Content-Disposition: attachment;
>> filename="=?utf-8?b?RkFLVFVSQS1GXzQxOTAzNDAxXzAyXzE5LnJhcg==?="
> Po naszemu: FAKTURA-F_41808401_02_19.rar
>
> Sam Content-Type jest inny:
>> Content-Type: application/vnd.rar
>
>
> 2.
> Można by spróbować po kombinacji nagłówków:
>> User-Agent: GWP-Draft
>> X-FactoryStamp: HA--
>> X-Draft-Variant: new
>> X-Draft-Contenttype: text/html
>
>

Podoba mi się końcówka stringu z filename, bo zdaje się powtórzyła się 
wkażdej z tych poczt:
=?utf-8?b?RkFLVFVSQS1GXzQxOTAzNDAxXzAyXzE5LnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQxODA4NDAxXzAyXzE5LnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQwMzQ4OTAzXzAyXzE5LUtPTlRPXzQ1Mjk4MTMyLnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQwMzQ4OTAzXzAyXzE5LUtPTlRPXzQ1Mjk4MTMyLnJhcg==?=
=?utf-8?b?RkFLVFVSQS1GXzQwMzQ4OTAzXzAyXzE5LUtPTlRPXzQ1Mjk4MTMyLnJhcg==?=

Te krótsze stringi sa z poczt sygnowanych jako T-Mobile, a długie z Play
Dorzuciłem do spamassasina to vnd.rar jako Content-Type, ale nie zadziałało.

LFC

W dniu 21.02.2019 o 13:16, LFC pisze:
> W dniu 21.02.2019 o 09:06, Piotr Lechowicz pisze:
>>
>> 2.
>> Można by spróbować po kombinacji nagłówków:
>>> User-Agent: GWP-Draft
>>> X-FactoryStamp: HA--
>>> X-Draft-Variant: new
>>> X-Draft-Contenttype: text/html
>>
>>
> 
> Podoba mi się końcówka stringu z filename, bo zdaje się powtórzyła się 
> wkażdej z tych poczt:


3gr:

X-WP-SPAM: YES

:)

-- 
Pozdrawiam
Lemat

W dniu 2019-02-21 o 15:17, Lemat pisze:
> 
> 3gr:
> 
> X-WP-SPAM: YES
> 
> :)
> 

Już nie.
W dzisiejszych:

> X-WP-SPAM: NO 0000019 [ADZU]                               

W dniu 21.02.2019 o 16:57, Piotr Lechowicz pisze:
> W dniu 2019-02-21 o 15:17, Lemat pisze:
>>
>> 3gr:
>>
>> X-WP-SPAM: YES
>>
>> :)
>>
> 
> Już nie.
> W dzisiejszych:
> 
>> X-WP-SPAM: NO 0000019 [ADZU] 
> 

SOA#1
dodatkowo:

/^From: =\?UTF-8\?Q\?Urz=C4=85d_Skarbowy\?=/

-- 
Pozdrawiam
Lemat

W dniu 2019-02-25 o 03:10, Lemat pisze:
> W dniu 21.02.2019 o 16:57, Piotr Lechowicz pisze:
>> W dniu 2019-02-21 o 15:17, Lemat pisze:
>>>
>>> 3gr:
>>>
>>> X-WP-SPAM: YES
>>>
>>> :)
>>>
>>
>> Już nie.
>> W dzisiejszych:
>>
>>> X-WP-SPAM: NO 0000019 [ADZU] 
>>
> 
> SOA#1
> dodatkowo:
> 
> /^From: =\?UTF-8\?Q\?Urz=C4=85d_Skarbowy\?=/
> 

Tak, i zmienili załącznik RAR na TAR:

> Content-Disposition: attachment; filename="=?utf-8?b?ZG9rdW1lbnR5LnRhcg==?="
> Content-Transfer-Encoding: base64
> Content-Type: application/x-tar

i obecnie znowu są spamerami:

> X-WP-SPAM: YES 0M00019 [UBak]