common/phrase_spam

   1 # -*- mode: spamassassin -*-
   2 # Added some rules from Rule du Jour that I've been testing for a while
   3
   4 #Monotone (from airmax.cf)
   5 body     MONOTONE_WORDS_2_15            /^([a-z]{2,20}[\s\.]+){15}/
   6 describe MONOTONE_WORDS_2_15            Lines with many (long) lowercase words (15+ words, 2+ letters)
   7 body     MONOTONE_WORDS_2_30            /^([a-z]{2,20}[\s\.]+){30}/
   8 describe MONOTONE_WORDS_2_30            Lines with many (long) lowercase words (30+ words, 2+ letters)
   9 body     MONOTONE_WORDS_3_20            /^([a-z]{3,20}[\s\.]+){20}/
  10 describe MONOTONE_WORDS_3_20            Lines with many (long) lowercase words (20+ words, 3+ letters)
  11 body     MONOTONE_WORDS_5_8                     /^([a-z]{5,20}[\s\.]+){8}/
  12 describe MONOTONE_WORDS_5_8                     Lines with many (long) lowercase words (8+ words, 5+ letters)
  13 body     MONOTONE_WORDS_5_12            /^([a-z]{5,20}[\s\.]+){12}/
  14 describe MONOTONE_WORDS_5_12            Lines with many (long) lowercase words (12+ words, 5+ letters)
  15 body     MONOTONE_WORDS_5_20            /^([a-z]{5,20}[\s\.]+){20}/
  16 describe MONOTONE_WORDS_5_20            Lines with many (long) lowercase words (20+ words, 5+ letters)
  17
  18 # Lots of auto-responders seem to have this
  19 body    MDO_AUTORESP1   /online form/i
  20 score   MDO_AUTORESP1   0.1
  21
  22 body    MDO_AUTORESP2   /large amount of (spam|virus)/i
  23 score   MDO_AUTORESP2   0.1
  24
  25 body    MDO_AUTORESP3   /(electronically|automatically) (generated|created) (email|ack)/i
  26 score   MDO_AUTORESP3   0.1
  27
  28 body    MDO_AUTORESP4   /(respond|answer) your enquiry/i
  29 score   MDO_AUTORESP4   0.1
  30
  31 body    MDO_AUTORESP5   /(email|enquiry) has been received/i
  32 score   MDO_AUTORESP5   0.1
  33
  34 body    MDO_AUTORESP6   /will be answered within/i
  35 score   MDO_AUTORESP6   0.1
  36
  37 body    MDO_AUTORESP7   /the e-mail address to which you have written does not support incoming messages/i
  38 score   MDO_AUTORESP7   0.1
  39
  40 meta    MDO_AUTORESP_META1      (MDO_AUTORESP1 + MDO_AUTORESP2 + MDO_AUTORESP3 + MDO_AUTORESP4 + MDO_AUTORESP5 + MDO_AUTORESP6 + MDO_AUTORESP7) > 1
  41 score   MDO_AUTORESP_META1      2.0
  42
  43 body MURPHY_DIPLOMA     /dip[l1]omas?/i
  44 describe MURPHY_DIPLOMA No Diploma
  45 score MURPHY_DIPLOMA    1
  46
  47 body MURPHY_CALORIES    /calories/
  48 describe MURPHY_CALORIES        No Calories
  49 score MURPHY_CALORIES   1
  50
  51 header MURPHY_CONTENT_GIF       Content-Type =~ /image\/gif/
  52 describe MURPHY_CONTENT_GIF     Content contains image/gif
  53 score MURPHY_CONTENT_GIF        1
  54
  55 # cable tv spam -- pasc 04/05/11-12
  56 body MDO_CABLE_TV1      /pay.?per.?view/i
  57 score MDO_CABLE_TV1     0.5
  58
  59 body MDO_CABLE_TV2      /mature.?channel/i
  60 score MDO_CABLE_TV2     0.5
  61
  62 body MDO_CABLE_TV3      /c(\@|a)ble/i
  63 score MDO_CABLE_TV3     0.5
  64
  65 body MDO_CABLE_TV4      /rem(o|0)te.?control/i
  66 score MDO_CABLE_TV4     0.5
  67
  68 meta MDO_CABLE_META1    (MDO_CABLE_TV1 || MDO_CABLE_TV2 || MDO_CABLE_TV4) && (MDO_CABLE_TV3)
  69 describe MDO_CABLE_META1 Too much cable stuff
  70 score MDO_CABLE_META1   3
  71
  72 header  MDO_TAGSPAM1            Subject =~ /Unknown Tag *free* Please Fix/
  73 score   MDO_TAGSPAM1            4
  74
  75 body    MDO_BAD_WORD1           /PORTFOLIO/i
  76 score   MDO_BAD_WORD1           2.8
  77
  78 # blarson, 2004-04-30 -> lists --pasc 04/05/11
  79 body AFFILIATEID        /affiliate.?id/i
  80 describe AFFILIATEID    affiliate id
  81 score AFFILIATEID       3
  82
  83 # blarson 2007-07-13
  84 header REFWD            subject =~ /\b(?:RE|FWD?|AW)(?:\[\d+\])?\:\s*$/i
  85 describe REFWD          re or fwd nothing
  86 score REFWD             3.5
  87
  88 # blarson 2005-11-11
  89 header ONEWORD          subject =~ /^(?:Fw:|re:)?\s*\S+\s*$/i
  90 describe ONEWORD        one word subject
  91 score ONEWORD           2
  92
  93 body ONEWORDBODY        /^\s*\S+\s*$/s
  94 describe ONEWORDBODY    One word body
  95 score ONEWORDBODY       2
  96
  97 meta  ONEWORDALL        (ONEWORD && ONEWORDBODY)
  98 describe ONEWORDALL     Both subject and body contain one word
  99 score ONEWORDALL        4
 100
 101 # robot101, 2003-09-22
 102 header CROSSWALK        X-UnityUser =~ /^Crosswalk.com, Inc/
 103 describe CROSSWALK      Crosswalk bible mailing list
 104 score CROSSWALK         3
 105
 106 header CROSSWALK_SPAM   From =~ /Crosswalk/
 107 describe CROSSWALK_SPAM Crosswalk Spam
 108 score CROSSWALK_SPAM    1
 109
 110 # -- joy, 2003-06-28
 111 header BOMDIA           Subject =~ /Bom dia /
 112 describe BOMDIA         Bom dia, usually some Romanic language spam
 113 score BOMDIA            2
 114
 115 header RCVD_FROM_UNCONF_HOST    Received =~ /^from localhost.localdomain/
 116 describe RCVD_FROM_UNCONF_HOST  Mail comes from a host with unconfigured mailer daemon
 117 score RCVD_FROM_UNCONF_HOST     2
 118
 119 # joy, 2003/01/25
 120 body ECOSPAM                    /Corridas de Toros para los turistas Ingleses en Barcelona/
 121 describe ECOSPAM                Eco-spam all right
 122 score ECOSPAM                   5.0
 123
 124 # cjwatson, 2003/02/24
 125 body SPANISH_FORM_CGI           /Este formulario fue enviado por/
 126 describe SPANISH_FORM_CGI       "Below is the result of your feedback form", eh?
 127 score SPANISH_FORM_CGI          4.0
 128
 129 # joy, 2003-06-18
 130 body TRAFFICMAGNET              /Become a TrafficMagnet Reseller/
 131 describe TRAFFICMAGNET          SpamMagnet
 132 score TRAFFICMAGNET             4
 133
 134 # joy, 2003-06-27
 135 header BKR                      Subject =~ /^bkr/
 136 describe BKR                    bkr spam
 137 score BKR                       4
 138
 139 # joy, 2003-06-27
 140 header RISEANDSHINE             Subject =~ /^Rise and Shine in 15 minutes/
 141 describe RISEANDSHINE           Rise and Shine in 15 minutes spam
 142 score RISEANDSHINE              4
 143
 144 # joy, 2003-09-20
 145 header UNIVDIP          Subject =~ /U N I V E R S I T Y . D I P L O M A S/i
 146 describe UNIVDIP        university diplomas spam
 147 score UNIVDIP           4
 148
 149 # joy, 2003-09-21
 150 header YOUTHERE         Subject =~ /^(Re: )?You/i
 151 describe YOUTHERE       Who, me? Likely spam
 152 score YOUTHERE          2
 153
 154 # cjwatson, 2003-11-20
 155 header HOUSECLEANING    Subject =~ /^Affordable Housecleaning Service/
 156 describe HOUSECLEANING  let's clean out the spam instead
 157 score HOUSECLEANING     3
 158
 159 # cjwatson, 2003-12-11
 160 header OTC_FIRST        Subject =~ /OTC FIRST ALERT/
 161 describe OTC_FIRST      OTC spam
 162 score OTC_FIRST         3
 163
 164 # joy, 2004-01-03
 165 body AVAILABLENOW       /available now/i
 166 describe AVAILABLENOW   must be selling some shit
 167 score AVAILABLENOW      1
 168
 169 # cjwatson, 2004-01-16
 170 body TEDIOUS_WITTER     /If not i included it below so let me know if you like it/
 171 describe TEDIOUS_WITTER annoying wittering spam, mypillsource.com I think
 172 score TEDIOUS_WITTER    2
 173
 174 # cjwatson, 2004-03-12
 175 # blarson 2004-06-09
 176 header UNI_DIPLOMA      subject =~ /\b(?:university|college|doctora+te|bache+lor|maste+rs?)[\/\s]+(?:(dip[l1][o0]ma|cert|degree)|(?:university|college|doctora+te|bache+lor|maste+rs?))/i
 177 describe UNI_DIPLOMA    Got a diploma, thanks
 178 score UNI_DIPLOMA       4
 179
 180 # blarson 2004-04-27
 181 body UNI2       /university\s+(diploma|cert|degree)/i
 182 describe UNI2   Got one, thanks
 183 score UNI2      4
 184
 185 # don 2007-11-03
 186 body UNI3               /(?:(?:maste+rs|batche+lor|m\s*b\s*a\s*|ph\.?\s*d|doctora+te)\s*[,.\/]?\s*){2,}/i
 187 describe UNI3           multiple types of degrees
 188 score UNI3              2
 189
 190 # cjwatson, 2004-03-12
 191 header JOB_CONFIRM      Subject =~ /Job confirmation/
 192 describe JOB_CONFIRM    Got one of these too, thanks
 193 score JOB_CONFIRM       3
 194
 195 # blarson 2005-09-20
 196 header MESSAGESUB       subject =~ /^\s*\(?message\s*(subject)?\)?$/i
 197 describe MESSAGESUB     really descriptive subject
 198 score MESSAGESUB        3
 199
 200 # blarson 2006-03-16 2007-09-18 not working, replaced 2007-12-08
 201 # body DEARDIGIT                /^(?:well\s+)?(?:Dear|Hey|H[ea]y?ll?.?o|To|Attention|Hi+|Hey+a?|Bonjorno|(?:Yo\s*)+|(?:g[o0]+d\s*)?(?:d?ay|morning|evening?|afternoon|night)|what.?i?s\s+up|wa(?:s|z)+up|greetings?|Salutations|(Mail|News)\s+to|how(?:.?s|\s+is)?\s*(?:(?:it)?(?:\s+is)??\s*going|have\s+you\s+been|are you).?\s*(?:there|to\s+you)?|compliments|Regards|Adieu)\,?\s+(?:Account\s+\#?|\=?3d|)(?:bro|there|sir|Mr\.?)\s*?\d{3,}/i
 202 body DEARDIGIT          /^\s*(?:Good\s*)?(?:evenin|night|day|hi|hello|greetin|Compliment|Wa[sz]+up|dear|Regard|Mornin|(?:yo\s*)+)[sg]?\s+(?:there\s+)?\d{3,}/i
 203 describe DEARDIGIT      Dear number
 204 score DEARDIGIT         3.9
 205
 206 # blarson 2004-11-08
 207 header SIZEMATTERS      subject =~ /^S.ze matters$/i
 208 describe SIZEMATTERS    Size matters spammer
 209 score SIZEMATTERS       3
 210
 211 # cjwatson 2005-01-02
 212 header RNDMX            subject =~ /^<rndmx/
 213 describe RNDMX          weird empty spam
 214 score RNDMX             4
 215
 216 # blarson 2005-01-06
 217 header VERIFYCAT        subject =~ /verifycation mail/
 218 describe VERIFYCAT      verifycation spam
 219 score   VERIFYCAT       4
 220
 221 # blarson 2005-01-10
 222 header D0WNLOAD         subject =~ /\bd[o0]wn[l1][o0]ad.*(?:m[o0]v[i1]e|mp3|tune|music)/i
 223 describe D0WNLOAD       download spam
 224 score D0WNLOAD          3
 225
 226 # blarson 2005-02-11
 227 header REDUCESPAM       subject =~ /Reduce Spam\b/i
 228 describe REDUCESPAM     reduce spam spam
 229 score REDUCESPAM        2
 230
 231 # blarson 2005-04-15
 232 body DIRT               /\.(?:the|\d|)dirty?\d+\.info\//
 233 describe DIRT           dirty spammer
 234 score DIRT              3
 235
 236 # blarson 2005-04-17
 237 body RNDWORD            /^RND_WORD\s*$/
 238 describe RNDWORD        RND_WORD
 239 score RNDWORD           3
 240
 241 # blarson 2005-08-18
 242 header D3GREE           subject =~ /\bd(?:3gres?|esgre|eerge|eeerg|reege|egres)e?s?\b/i
 243 describe D3GREE         Want a used paper from someone who can't spell
 244 score D3GREE            3
 245
 246 # blarson 2005-08-19
 247 body FINALNOTE          /\bfinal\s+notif/i
 248 describe FINALNOTE      yet another final notification
 249 score FINALNOTE         2
 250
 251 # blarson 2005-08-23
 252 header HIITS            subject =~ /\bHi\! It\'s\b/i
 253 describe HIITS          hi its
 254 score HIITS             3
 255
 256 # blarson 2005-08-23
 257 header GOTONE           subject =~ /\bgot one$/i
 258 describe GOTONE         got this spam already
 259 score GOTONE            3
 260
 261 # blarson 2005-09-06
 262 body IMMEDIATEREV       /^ATTENTION- For your immediate review:/
 263 describe IMMEDIATEREV   immediate discard
 264 score IMMEDIATEREV      3
 265
 266 # blarson 2005-09-12
 267 body CLIENTALERT        /^(?:CLIENT ALERT|ATTENTION CLIENT)/i
 268 describe CLIENTALERT    client alert
 269 score CLIENTALERT       3
 270
 271 # cjwatson 2005-10-20
 272 header DEBIANTUX23      From =~ /DebianTux23|wieseltux23/i
 273 describe DEBIANTUX23    Linux spammer, sigh
 274 score DEBIANTUX23       5
 275
 276 # blarson 2005-10-29
 277 body SHITBRO            /^\s*sh[i1]+t\s+bro/i
 278 describe SHITBRO        shitty spam
 279 score SHITBRO           3
 280
 281 # blarson 2005-12-05
 282 header POPPROG          subject =~ /popular programs for everyday use/i
 283 describe POPPROG        unpopular spam
 284 score POPPROG           3
 285
 286 # blarson 2006-02-03
 287 body GREET              /^\%(?:GREET|EXIT)/
 288 describe GREET          broken spamware
 289 score GREET             3
 290
 291 # blarson 2006-10-18
 292 header WROTE            subject =~ /\bwrote\:\s*$/i
 293 describe WROTE          stock scam
 294 score WROTE             2
 295
 296 body DEGREE_SPAM        /earn.+degree.+transcripts/i
 297 describe DEGREE_SPAM    earn a degree with transcripts spam
 298 score    DEGREE_SPAM    2.5
 299
 300 # blarson 2006-10-23
 301 body BLUEPILL           /blue pill/i
 302 describe BLUEPILL       Blue pill spam
 303 score BLUEPILL          2
 304
 305 # blarson 2006-11-04
 306 header PHOTOQUEST       subject =~ /question about your photo/i
 307 describe PHOTOQUEST     questioning photo
 308 score PHOTOQUEST        2
 309
 310 # blarson 2006-11-08
 311 body KBDP               /Knowledge Based Degree Program/i
 312 describe KBDP           degree spam
 313 score KBDP              4
 314
 315 # blarson 2006-11-13
 316 body CRITERIAHAS        /\bOur criteria has changed\b/i
 317 describe CRITERIAHAS    Diploma salesman with bad english
 318 score CRITERIAHAS       3
 319
 320 # blarson 2006-11-18
 321 body TORA08             /\b\d{6}   \d{7}   \d{6}         \d             \d{7}   \d{7}/
 322 describe TORA08         TORA.08 spam
 323 score TORA08            3
 324
 325 # blarson 2006-11-21
 326 body SERIOUSBRO         /^Seriously bro\b/i
 327 describe SERIOUSBRO     Seriously bro
 328 score SERIOUSBRO        3
 329
 330 # blarson 2006-12-06
 331 body INSETET            /\bwilson\@insitetcnologia\.com\.br\b/
 332 describe INSETET        please send spammer
 333 score INSETET           4
 334
 335 # blarson 2006-12-09
 336 body USUARIO            /\bEl usuario destinatario no es un usuario valido/
 337 describe USUARIO        No such user -- sent in infinite loop
 338 score   USUARIO         3
 339
 340 # don 2006-12-13
 341 body NOMAILRECBI        /no recibi tu mail/i
 342 describe NOMAILRECBI    No recbi of mail -- was closing way to many bugs
 343 score   NOMAILRECBI     3
 344
 345 # blarson 2007-02-13
 346 header URHELP           subject =~ /\bi need ur help\b/
 347 describe URHELP         blank spam
 348 score URHELP            3
 349
 350 # blarson 2006-12-08
 351 header ACRO8PR0         subject =~ /\bAcr[0o]bat\s*[78]\s+(?:PR[0O]\b|\$?\d+\$?)/i
 352 describe ACRO8PR0       sales spam
 353 score ACRO8PR0          4
 354
 355 # blarson 2007-10-05
 356 body WBRS               /\b(WBRS|FPMC|ADYN|AFML|MISJ|HXPN|WHKA|CBFE|HSBC|PCAI|MPRG|HPRS|AUNI|TGVI|MHII|TAMG|GDKI|ACEN|CDYV|G7Q\.F|mbwc|CHFR|CDPN|DSDI|UTEV|P-S-U-D|GPSI|SGXI|CAON|SREA|ERMX|VPSN|SZSN|PAYI\.OB|LTDI|C\W\W?Y\W\W?T\W\W?V|E\WX\WM\WT|CYTV|VGPM|V\s?G\s?P\s?M(\.PK)?|wwng|WWNG|F\WD\WE\WG|FDEG|UTYW|M\s*I\s*H\s*I|O\W?N\W?C\W?O|P\W?P\W?Y\W?H|S\W?R\W?E\W?A|A\W?C\W?G\W?U|S\W?C\W?Y\W?F|C\W?H\W?V\W?C|D\W?M\W?X\W?C|F\W?R\W?L\W?E|M\W?A\W?K\W?U|C\W?W\W?T\W?E|F\W?R\W?L\W?E|M\W?X\W?X\W?R|P\W?R\W?T\W?H|A\W?L\W?L\W?U|C\W?W\W?T\W?D|T\W?A\W?D\W?F|D\W?M\W?H\W?N|C\W?A\W?O\W?N|Cwtd|N\W?C\W?S\W?H|F\W?R\W?L\W?E|M\W?A\W?K\W?U|d\W?m\W?h\W?n|T\W?R\W?T\W?M|[Ee]\W?[Tt]\W?[Gg]\W?[Uu]|P\W?E\W?R\W?T|EWIN|SXB\.F|OPLO|DCNM|mpix|MPIX|UCSO|TBCO)\b/
 357 describe WBRS           stock spam
 358 score WBRS              4
 359
 360 body FOURLA             /\b([A-Z]\s?){4}\b/
 361 describe FOURLA         Four letter acronym (stock spam?)
 362 score FOURLA            0.1
 363
 364 meta STOCKLIKE          (FOURLA && (MONEY || SUBJMONEY))
 365 describe STOCKLIKE      Four letter acronyms with money; stock scam
 366 score STOCKLIKE         1
 367
 368 # blarson 2007-01-26
 369 header ACROBAT8         subject =~ /\badobe acr[o0]bat 8\b/i
 370 describe ACROBAT8       more sales spam
 371 score ACROBAT8          3
 372
 373 # blarson 2007-03-14
 374 header VLSTA            subject =~ /VlSTA|0FFlCE|ACR0B8T/i
 375 describe VLSTA          misspelled microshit software
 376 score VLSTA             3
 377
 378 # blarson 2007-04-19
 379 header ANGEKUEN         subject =~ /\bTrauer angekuendigt\b/
 380 describe ANGEKUEN       german spam
 381 score ANGEKUEN          3
 382
 383 # blarson 2007-05-06
 384 body INTCAFE            /\binternet caff?e\b/i
 385 describe INTCAFE        internet cafe spam
 386 score INTCAFE           2
 387
 388 # blarson 2007-07-14
 389 header VERIFIC          subject =~ /Your email requires verification/
 390 describe VERIFIC        some people prefer you get their spam
 391 score VERIFIC           3
 392
 393 # blarson 2007-07-14
 394 header WHITELIST        subject =~ /You have been added to .* whitelist/
 395 describe WHITELIST      whitelist spam
 396 score WHITELIST         3
 397
 398 # blarson 2007-07-15
 399 body CASNIO             /^Please be advised that your casnio account is still inactive/
 400 describe CASNIO         casnio account
 401 score CASNIO            3
 402
 403 # don 2007-07-17
 404 header AUTOREPLY        subject =~ /\bauto(?:mated|matic|)[\s-]+re(?:spon[cs]e|ply)\b/i
 405 describe AUTOREPLY      Automatic reply
 406 score AUTOREPLY         2
 407
 408 # blarson 2007-07-18
 409 body CONFSERV           /^Thanks for using our confidential service/
 410 describe CONFSERV       confidential service
 411 score CONFSERV          3
 412
 413 # blarson 2007-07-18
 414 body CONTENC            /^Confirmation has been enclosed/
 415 describe CONTENC        more pdf spam
 416 score CONTENC           4
 417
 418 # blarson 2007-07-23
 419 header PHONE            subject =~ /\b(tele)?phone\b/i
 420 describe PHONE          phone spam
 421 score PHONE             2
 422
 423 # blarson 2007-07-30
 424 body ASPDF              /^We send our messages as Portable Document Format/
 425 describe ASPDF          more pdf spam
 426 score ASPDF             3
 427
 428 # blarson 2007-08-20
 429 body DELAFT             /Please delete your private message after reading/
 430 describe DELAFT         more pdf spam
 431 score DELAFT            3
 432
 433 # blarson 2007-09-13
 434 header OFF1CE           subject =~ /\b[O0Q]f+[1i7l|]ce\s*\W?2[O0Qk]+7\b/i
 435 describe OFF1CE         off1ce spam
 436 score OFF1CE            4
 437
 438 # blarson 2007-09-13
 439 header SOFTSALE         subject =~ /\bsoftware sales\b/i
 440 describe SOFTSALE       software spam
 441 score SOFTSALE          3
 442
 443 # blarson 2007-09-18
 444 body SUPERMACHO         /\bBe a supermacho/i
 445 describe SUPERMACHO     supermacho
 446 score SUPERMACHO        4
 447
 448 # blarson 2007-09-19
 449 body BIGINTER           /\bBig international commercial organization\b/i
 450 describe BIGINTER       job spam
 451 score BIGINTER          4
 452
 453 # blarson 2007-09-20
 454 header HASSENT          subject =~ /\b(?:sent you a (?:personal|confidential)?\s*(?:message|note))\b/i
 455 describe HASSENT        sent a message
 456 score HASSENT           4
 457
 458 # don 2008-04-19
 459 header WANTTOCHAT       subject =~ /\b(?:(?:would like|wants|feels?) (?:to chat|like chatting|to keep up with you))\b/i
 460 describe WANTTOCHAT     I want to chat/keep up with spam
 461 score WANTTOCHAT        5.5
 462
 463 # blarson 2007-09-20
 464 header ORDERNUM         subject =~ /\b(?:Order|Recipet)\s*.?\d{3,}/i
 465 describe ORDERNUM       order number
 466 score ORDERNUM          3
 467
 468 # don 2007-09-20
 469 header DICTIONARYSEQ    subject =~ /\b(\w{3})\w*(?:\s+\1\w*){2}/i
 470 describe DICTIONARYSEQ  Ventricular Vents Venting Ventures
 471 score DICTIONARYSEQ     3.5
 472
 473 # blarson 2007-09-21
 474 header NOLET            subject =~ /^\W{4,}$/
 475 describe NOLET          swearing subject
 476 score NOLET             2
 477
 478 # blarson 2007-09-21
 479 body SSIST              /^ssistant Manager/
 480 describe SSIST          ssistant Manager
 481 score SSIST             4
 482
 483 # blarson 2007-09-21
 484 body GRADUATEUNDER      /\bgraduate in under\b/i
 485 describe GRADUATEUNDER  graduate in under
 486 score GRADUATEUNDER     3
 487
 488 # blarson 2007-09-24
 489 header NOINVEST         subject =~ /\b(?:no investment|high.paid)\b/i
 490 describe NOINVEST       no investment
 491 score NOINVEST          4
 492
 493 # blarson 2007-09-25
 494 header INTEXP           subject =~ /\b[I|]nternet Exp[l|]orer\b/i
 495 describe INTEXP         |nternet Exp|orer
 496 score INTEXP            2
 497
 498 # don 2007-09-29
 499 header WORKATHOME       subject =~ /work\Wat\Whome/i
 500 describe WORKATHOME     Work at home
 501 score WORKATHOME        4
 502
 503 # don 2007-10-01
 504 body PHONENUMBER        /\b1[\-\.\s]?8[07]+[\-\.\s]?\d+/
 505 describe PHONENUMBER    Toll free phone number
 506 score PHONENUMBER       1.5
 507
 508 # don 2007-10-02
 509 body GERMANSPAM         /Zerix Intern/i
 510 describe GERMANSPAM     Um... no clue what that is.
 511 score GERMANSPAM        3
 512
 513 body URBANNEWS          /UrbaNNews\.ro/
 514 describe URBANNEWS      URBANNEWS Newsletter
 515 score URBANNEWS         3
 516
 517 # blarson 2007-10-05
 518 header JOBS             subject =~ /\b(?:job|Employ(?:ers|ment|ee))s?\b/i
 519 describe JOBS           job spam
 520 score JOBS              1
 521
 522 # don 2007-10-09
 523 header FREEPASSWORD     subject =~ /your\s*free\s*password/i
 524 describe FREEPASSWORD   We don't need free password
 525 score FREEPASSWORD      3
 526
 527 # don 2007-10-11
 528 header AFRICABYBIKE     subject =~ /africa\s*by\s*bike/i
 529 describe AFRICABYBIKE   We don't care about africa by bike or car or bus or train
 530 score AFRICABYBIKE      4
 531
 532 # blarson 2007-10-14
 533 header BRAKETDIGIT      subject =~ /\[\d+\]\:\s*$/
 534 describe BRAKETDIGIT    braketed digit colon last in subject
 535 score BRAKETDIGIT       2
 536
 537 # blarson 2007-10-14
 538 full WHATISOEM          /\bWhat\s*is\s*OEM\b/i
 539 describe WHATISOEM      What is OEM
 540 score WHATISOEM         4
 541
 542 # blarson 2007-10-15
 543 body WORKEXP            /\bwork\s+experience\s+degree\b/i
 544 describe WORKEXP        work experience degree
 545 score WORKEXP           3
 546
 547 # blarson 2007-10-24
 548 body NICEGIRL           /\b(?:nice|young|lonley|unmarried)\s+(?:girl|woman|female)\b/i
 549 describe NICEGIRL       nice girl
 550 score NICEGIRL          3
 551
 552 # blarson 2007-10-18
 553 header DFF1CE           subject =~ /UmU6INDSydfF1CE/i
 554 describe DFF1CE         korean spam
 555 score DFF1CE            4
 556
 557 # blarson 2007-10-23
 558 header FAILNOTE         subject =~ /\bFailure notice\:/i
 559 describe FAILNOTE       bounced spam
 560 score FAILNOTE          4
 561
 562 # blarson 2007-10-25
 563 full STILLSINGLE        /\bstill\s+single\b/i
 564 describe STILLSINGLE    still single
 565 score STILLSINGLE       2
 566
 567 # blarson 2007-10-26
 568 header PERSONALCRED     subject =~ /\bPersonal\s+Credit/i
 569 describe PERSONALCRED   Personal Credit
 570 score PERSONALCRED      2
 571
 572 # blarson 2007-10-26
 573 body XMASGIFT           /\b(?:christ|x)mas gift\b/
 574 describe XMASGIFT       christmas gift
 575 score XMASGIFT          2
 576
 577 # blarson 2007-10-26
 578 body RONPAUL            /\bRon Paul\b/
 579 describe RONPAUL        Ron Paul
 580 score RONPAUL           3
 581
 582 # blarson 2007-10-27
 583 body YOURJOB            /your Job Verification Number/
 584 describe YOURJOB        your Job Verification Number
 585 score YOURJOB           3
 586
 587 # blason 2007-10-28
 588 body PASTERESUME        /\bPASTE your resume\b/i
 589 describe PASTERESUME    PASTE your resume
 590 score PASTERESUME       3
 591
 592 body LETHIHELO          /\{Let\:HI,Hi,Hello,hEllo,heLlo,helLo,hellO,HEllo\} how are you/
 593 describe LETHIHELO      Hello, how are you
 594 score LETHIHELO         4
 595
 596 # blarson 2007-10-29
 597 body DIREKTOR           /Direktor of Softline/i
 598 describe DIREKTOR       Direktor of Softline
 599 score DIREKTOR          3
 600
 601 # blarson 2007-10-29
 602 body THEDEG             /\bthe_degree\b/
 603 describe THEDEG         the_degree
 604 score THEDEG            3
 605
 606 # blason 2007-10-29
 607 body DYNMH              /D Y N A M I C  M EDIA HOLDIN/
 608 describe DYNMH          D Y N A M I C  M EDIA HOLDIN
 609 score DYNMH             4
 610
 611 # blarson 2007-10-30
 612 header LEGBUD           subject =~ /\b(?:Legal|smoking) Bud/i
 613 describe LEGBUD         Legal Bud
 614 score LEGBUD            4
 615
 616 # blarson 2007-10-30
 617 full LEGBUD2            /\b(?:Legal|smoking) Bud/i
 618 describe LEGBUD2        Legal Bud
 619 score LEGBUD2           4
 620
 621 # blarson 2007-10-31
 622 body SMOKING            /\b(?:beat|stop|quit|without)\s+(?:nicotine|smoking|cigarettes)\b/i
 623 describe SMOKING        stop smoking
 624 score SMOKING           3
 625
 626 # blarson 2007-11-04
 627 header WORKHOME         subject =~ /\bwork\b.*\bhome\b/i
 628 describe WORKHOME       work from home
 629 score WORKHOME          2
 630
 631 # blarson 2007-11-04
 632 header HOMEWORK         subject =~ /\bhome\b.*\b(?:work|business|job|based)\b/i
 633 describe HOMEWORK       home business
 634 score HOMEWORK          3
 635
 636 # blarson 2007-11-04
 637 header REPRESENT        subject =~ /\bRepresent(?:ative)?\b.*\b(?:Country|needed)\b/i
 638 describe REPRESENT      represent your country
 639 score REPRESENT         2
 640
 641 # blarson 2007-11-06
 642 header NOFEE            subject =~ /\bNo\s+fee\b/i
 643 describe NOFEE          No fee
 644 score NOFEE             2
 645
 646 # blarson 2007-11-07
 647 body NEEDED             /\b(?:manager|executive)\b.*\bneeded\b/i
 648 describe NEEDED         manager needed
 649 score NEEDED            2
 650
 651 # blarson 2007-11-10
 652 body CRETPROF           /\b(?:creative|perceptive)\b.*\bprofessionals?\b/i
 653 describe CRETPROF       creative and perceptive professionals
 654 score CRETPROF          2
 655
 656 # blarson 2007-11-15
 657 body REMOVEDOT          /\b(?:Remove|erase|take (?:away|out)) (?:the dot\b|\W )/i
 658 describe REMOVEDOT      Remove the dot
 659 score REMOVEDOT         3
 660
 661 # blarson 2007-11-19
 662 full VENTTRANS          /\bVent Transports\b/
 663 describe VENTTRANS      Vent Transports
 664 score VENTTRANS         4
 665
 666 # blarson 2007-11-19
 667 body HOLIDAYHERE        /\bHolidays are here\b/i
 668 describe HOLIDAYHERE    Holidays are here
 669 score HOLIDAYHERE       3
 670
 671 # blarson 2007-11-22
 672 header CAPINIT          subject =~ /^(?:Re:)?\s*(?:(?:[A-Z][a-z-\']+|PaintBrush|Jet (?:plane|fighter)|Tennis racquet|Leather jacket|IWC|\&|Jaeger-LeCoultre)\s+)+(?:[A-Z][a-z-]+|PaintBrush|Jet (?:plane|fighter)|Tennis racquet|Leather jacket)\s*$/
 673 describe CAPINIT        Capinit Every Word
 674 score CAPINIT           3
 675
 676 # blarson 2007-11-23
 677 body REMOVESPACE        /\b(?:remove|w\/o|without|delete) spaces?\b/i
 678 describe REMOVESPACE    w/o space
 679 score REMOVESPACE       2
 680
 681 # blason 2007-11-27
 682 header BEAHERO          subject =~ /Be a hero/
 683 describe BEAHERO        Be a hero
 684 score BEAHERO           4
 685
 686 # blarson 2007-11-28
 687 header SOFTCHEAP        subject =~ /Soft and cheap/i
 688 describe SOFTCHEAP      Soft and cheap
 689 score SOFTCHEAP         3
 690
 691 # blarson 2007-11-30
 692 body CHEAPSOFT          /\bcheap (?:OEM)?\s*soft(?:ware)?/i
 693 describe CHEAPSOFT      cheap OEM soft
 694 score CHEAPSOFT         2
 695
 696 # blarson 2007-11-30
 697 header MAKEMONEY        subject =~ /\b(?:Make|need|extra)\s+(?:Cash|money|income)\b/i
 698 describe MAKEMONEY      Make Cash
 699 score MAKEMONEY         3
 700
 701 # blarson 2007-12-07
 702 header PREVED           subject =~ /\bPreved\b/i
 703 describe PREVED         Preved
 704 score PREVED            3
 705
 706 # blarson 2007-12-08
 707 body YOURPROFILE        /\byour profile\b/i
 708 describe YOURPROFILE    your profile
 709 score YOURPROFILE       2
 710
 711 # blarson 2007-12-09
 712 body SEEKEMP            /\bseeking for employees\b/
 713 describe SEEKEMP        seeking for employees
 714 score SEEKEMP           3
 715
 716 # blarson 2007-12-27
 717 body PRICELIST          /(?m:^(?:adobe|microsoft|intuit|autodesk|symantec)\W.*\b\d{2,}$){3,}/i
 718 describe PRICELIST      list of prices
 719 score PRICELIST         1
 720
 721 # blarson 2007-12-30
 722 full OEMSOFT            /\b[O0]EM\s+s[o0][\W_]?ft_?(?:w_?a_?r_?e)?\b/i
 723 describe OEMSOFT        OEM software
 724 score OEMSOFT           2
 725
 726 # tviehmann 2008-07-20
 727 full XORGBUGREPORTS     /\/usr\/lib\/xorg\/modules/
 728 describe XORGBUGREPORTS ameliorate score of xorg bug reports matching OEMSOFT
 729 score XORGBUGREPORTS    -5
 730
 731 # don 2008-02-23
 732 body MSSOFTWARE         /(?:Microsoft|Windows) (?:Office Enterprise|Vista Ultimate)/i
 733 describe MSSOFTWARE     Microsoft Office Enterprise/Vista Ultimate
 734 score MSSOFTWARE        3
 735
 736 # blarson 2008-01-01
 737 header NIGHTGIRL        subject =~ /\bnight\b.*\bgirlfriend\b/
 738 describe NIGHTGIRL      night ... girlfriend
 739 score NIGHTGIRL         3
 740
 741 body SITESUBJECT        /\bPlease see this site in Subject\b/i
 742 describe SITESUBJECT    Pls check this new site
 743 score SITESUBJECT       3
 744
 745 # tomv 2008-01-01
 746 header PLSCHECKSITE     from =~ /\bPls check this new site\b/i
 747 describe PLSCHECKSITE   Pls check this new site
 748 score PLSCHECKSITE      4
 749
 750 # blarson 2008-01-03
 751 header MARRYCH          subject =~ /\bMarry Christmas\b/
 752 describe MARRYCH        Marry Christmas
 753 score MARRYCH           3
 754
 755 # don 2008-01-7
 756 header BUYTHEPRODUCT    subject =~ /Buy the product/i
 757 describe BUYTHEPRODUCT  Buy the product subject
 758 score BUYTHEPRODUCT     3
 759
 760 # blarson 2008-01-11
 761 body IBERIS             /\bIberis Capital Group\b/
 762 describe IBERIS         Iberis Capital Group
 763 score IBERIS            4
 764
 765 # blarson 2008-01-18
 766 header HIFROM           subject =~ /\b(?:hello|hi)\s+from/i
 767 describe HIFROM         hello from
 768 score HIFROM            3
 769
 770 # blarson 2008-01-22
 771 body INTCORP            /\bInternational\s+corporation\b/i
 772 describe INTCORP        International corporation
 773 score INTCORP           2
 774
 775 # blarson 2008-01-23
 776 header ISITYOU          subject =~ /\bis it you\b/i
 777 describe ISITYOU        is it you
 778 score ISITYOU           2
 779
 780 # blarson 2008-01-27
 781 header CUSTOMERALERT    subject =~ /\bCustomer alert\b/i
 782 describe CUSTOMERALERT  Customer alert
 783 score CUSTOMERALERT     3
 784
 785 # blarson 2008-02-16
 786 body SLASHITY           /^\s*\/\/\/.*\\\\\\\s*$/
 787 describe SLASHITY       /// ... \\\
 788 score SLASHITY          2
 789
 790 # blarson 2008-02-20
 791 full OPENPOS            /\bopen\s*position/i
 792 describe OPENPOS        open positions
 793 score OPENPOS           3
 794
 795 # don 2008-02-23
 796 header EBAYMEMBER       subject =~ /message from ebay member/i
 797 describe EBAYMEMBER     Message from ebay member
 798 score EBAYMEMBER        4
 799
 800 # blarson 2008-02-25
 801 header RESPONSERES      subject =~ /\bResponse to Resume\b/i
 802 describe RESPONSERES    Response to Resume
 803 score RESPONSERES       3
 804
 805 # blarson 2008-02-29
 806 body INTCOMP            /^International company/
 807 describe INTCOMP        International company
 808 score INTCOMP           3
 809
 810 # blarson 2008-03-04
 811 header VIAGPHRA         subject =~ /\b(?:She want|in bed|love heaven|My hormones|the person|damn goood|more sexy|all night|seven heaven|pounds off|away pounds|She wants|beautiful women)\b/i
 812 describe VIAGPHRA       misc spam phrases
 813 score VIAGPHRA          4
 814
 815 # blarson 2008-03-05
 816 body SEXHEALTH          /\bSexual Health/i
 817 describe SEXHEALTH      Sexual Health
 818 score SEXHEALTH         4
 819
 820 # blarson 2008-03-12
 821 header ADEGREE          subject =~ /\b(a|some|quick)\s+degree\b/i
 822 describe ADEGREE        a degree
 823 score ADEGREE           3
 824
 825 # blarson 2008-03-12
 826 rawbody PZIP            /\bfilename\=\"\w\w?\.zip\"/
 827 describe PZIP           p.zip
 828 score PZIP              3
 829
 830 # blarson 2008-03-13
 831 header RETWO            subject =~ /RE\:(?: [ab][a-z\']+){2,3}\s*$/
 832 describe RETWO          RE: bogus arbitrary
 833 score RETWO             2
 834
 835 # don 2008-03-17
 836 full SUBBODYREP         /Subject: (?:RE\:\s*)?([a-z]+)\s+([a-z]+)(?:\s+[a-z]+)\n.+\1\2/i
 837 describe SUBBODYREP     Repeated word in subject and body without spaces
 838 score SUBBODYREP        3
 839
 840 # don 2008-03-19
 841 full MYMSNNAMEIS        /(?:add\s+me\s+on|my)\s+(?:msn|(?:live|msn|)\s*mess?enger|aim|aol|screen)\s+(?:name\s+)?(?:is)?\s+\S+\@\S+/i
 842 describe MYMSNNAMEIS    My screen name is foo@bar.com
 843 score MYMSNNAMEIS       2.5
 844
 845 # blarson 2008-03-20
 846 body LONGWURL           /^[\w\-]{11,}\s+http\:\/\/[\w\.\-]{4,}\s*$/
 847 describe LONGWURL       longWord URL
 848 score LONGWURL          2
 849
 850 # blarson 2008-03-20
 851 header ITCSTORE         subject =~ /ITC Store/
 852 describe ITCSTORE       ITC Store
 853 score ITCSTORE          4
 854
 855 # blarson 2008-03-26
 856 header GENDER           subject =~ /\b(?:she|her|wom[ae]n|m[ae]n|girls?|males?|females?|herself|wife|ladies|lady|wives|(?:girl|boy)friends?)\b/i
 857 describe GENDER         gender pronoun in subject
 858 score GENDER            1
 859
 860 # blarson 2008-03-28
 861 body REBODY             /^re\:\s/
 862 describe REBODY         re: in body
 863 score REBODY            2
 864
 865 # blarson 2008-04-01
 866 header REREHI           subject =~ /^Re: Re: H(i|ello)\s*$/i
 867 describe REREHI         Re: Re: Hi
 868 score REREHI            3
 869
 870 # blarson 2008-04-10
 871 header PEROFF           subject =~ /\d+\%\s+off\b/i
 872 describe PEROFF         xx% off
 873 score PEROFF            3
 874
 875 # blarson 2008-04-10
 876 header SUMHERE          subject =~ /\b(?:summer|winter|fall|spring) is here\b/i
 877 describe SUMHERE        summer is here
 878 score SUMHERE           3
 879
 880 # don 2008-04-24
 881 header INVITATIONFROM   subject =~ /^\s*(Invitation|Invitaci.n)\s*(from|curso)\s*\w+\s*$/i
 882 describe INVITATIONFROM Invitation from Spammer
 883 score INVITATIONFROM    5
 884
 885 header INVITESYOU       subject =~ /^[\w\s]+(invites|communicates\s+with)\s+you\s+(to|about)[\w\s]+$/i
 886 describe INVITESYOU     Invites or communicates me with spam
 887 score INVITESYOU        5
 888
 889 # blarson 2008-04-28
 890 header RERE             subject =~ /^Re\:\s+Re\:\s+/i
 891 describe RERE           Re: Re:
 892 score RERE                      1
 893
 894 # don 2008-04-30
 895 header CLAIMTICKETS     subject =~ /claim.+ticket/i
 896 describe CLAIMTICKETS   Blah blah claim ticket
 897 score CLAIMTICKETS      4
 898
 899 # don 2008-05-05
 900 header WAITINGREPLY     subject =~ /waiting for your? (reply|to repsond|response)/i
 901 describe WAITINGREPLY   Waiting for your reply
 902 score WAITINGREPLY      4
 903
 904 # don 2008-05-15
 905 body CONTACTUS          /contact us by email:/
 906 score CONTACTUS         3
 907 describe CONTACTUS      Don't contact us, we'll spam you
 908
 909 # don 2008-06-18
 910 header FASHION          subject =~ /(?:(?:armani|gucci|chanel|boss|versache|ugg|dsquared)(?:\,\s*|$)){2,}/i
 911 describe FASHION        Fashion designers in subject
 912 score FASHION           2
 913
 914 # don 2008-07-30
 915 header SCOUR            subject =~ /Scour(?:.com)? invite from/
 916 describe SCOUR          Scour invite from some spammer
 917 score SCOUR             3
 918
 919 # don 2008-09-04
 920 body  YOURNAME          /\d+\)\s*y+o+u+r+\s*n+a+m+e+/i
 921 describe YOURNAME       1) your name is spam
 922 score YOURNAME          3
 923
 924 # blarson 2008-12-11
 925 header TWITTER          subject =~ /you on Twitter/
 926 describe TWITTER        Twitter invite spam
 927 score TWITTER           4
 928
 929 # don 2008-12-18
 930 uri DOS_LIVE_SPACES_CID /cid-.{10,20}\.spaces\.live\.com/
 931 describe DOS_LIVE_SPACES_CID    live spaces uri
 932 score DOS_LIVE_SPACES_CID       3
 933
 934 # don 2008-12-18
 935 header CHRISTMAS        subject =~ /chris+tma+s (pleasure+|night)/i
 936 describe CHRISTMAS      Does christmas really give you pleasure?
 937 score CHRISTMAS         2
 938
 939 # cord 2008-12-27 (transfered from rc.spam)
 940 # don 2010-07-18 (decrease score from 4 to 2.5 for false positives)
 941 full AWARD_WINNING      /Award win/i
 942 describe AWARD_WINNING  Award win(ning); we don't believe that it is
 943 score AWARD_WINNING     2.5
 944
 945 # don 2009-01-10
 946 header LINKEDIN         from =~ /linkedin\.com/
 947 describe LINKEDIN       Linked in spam
 948 score LINKEDIN          4
 949
 950 # don 2009-02-02
 951 header  LIFECHANGERS    from =~ /lifechangers/
 952 describe LIFECHANGERS   Life changers spam
 953 score LIFECHANGERS      4
 954
 955 # don 2009-02-05
 956 header WINESEASON       subject =~ /Wine\s*Season\s*Promo/i
 957 describe WINESEASON     Wine season spam
 958 score WINESEASON        3
 959
 960 # don 2009-02-05
 961 header JOINMEON         subject =~ /(?:friend request|join me) on/i
 962 describe JOINMEON       Lets not join you on anything
 963 score JOINMEON          2
 964
 965 # don 2009-02-09
 966 header ABOUTAPARTMENT   subject =~/about\s*the\s*apartment/i
 967 describe ABOUTAPARTMENT We don't care about apartments
 968 score ABOUTAPARTMENT    2
 969
 970 # don 2009-02-14
 971 header YARISUBJECT      subject =~ /\byari\b/i
 972 describe YARISUBJECT    Contains YARI in the subject
 973 score YARISUBJECT       2
 974
 975 # don 2009-03-03
 976 body HTMLCOMPATIBLE     /html\s+compatible\s+(?:e-?mail)?\s*(?:viewer|client)/i
 977 describe HTMLCOMPATIBLE If you want us to use an HTML compatible viewer, we don't want your mail.
 978 score HTMLCOMPATIBLE    3
 979
 980 # zobel 2009-08-31
 981 header AYDA10KILO       subject =~ /Ayda 10 Kilo Vermek Istermisiniz/i
 982 describe AYDA10KILO     We don't care about Ayda 10 Kilo Vermek
 983 score AYDA10KILO        4
 984
 985 # don 2010-08-21
 986 body CANNOTVIEW         /cannot\s+view\s+this\s+email/i
 987 describe CANNOTVIEW     If we cannot view this email, it must be spam
 988 score CANNOTVIEW        4
 989
 990 # don 2010-09-24
 991 header AAVEHICLE        subject =~ /vehicle check report/i
 992 describe AAVEHICLE      The AA Vehicle check report is broken
 993 score AAVEHICLE         4
 994
 995 # don 2010-12-27
 996 header MODERNART        X-BeenThere =~ /group1\@modernartmagazine.com/i
 997 describe MODERNART      Broken mailing list spamers
 998 score MODERNART         5
 999
1000 # formorer 2011-01-07
1001 header NYPOSTCARD       subject =~ /New Year postcard/i
1002 describe NYPOSTCARD     Enough New Year cards for 2011
1003 score   NYPOSTCARD      4
1004
1005
1006 # don 2011-01-24
1007 header   BIZZBOOSTER    from =~ /bizzbooster/i
1008 describe BIZZBOOSTER    From bizzbooster
1009 score    BIZZBOOSTER    5
1010
1011 # don 2011-09-22
1012 header QUOTAEXP         subject =~ /mail\s+account(.+)quot[ae]\s+limit/
1013 describe QUOTAEXP       Exceeded quota limit
1014 score QUOTAEXP          4
1015
1016 # don 2011-09-22
1017 body SEOBODY            /search\s+engine\s+traffic/
1018 describe SEOBODY        Body contains SEO terms
1019 score SEOBODY           1
1020
1021 header SEOSUBJECT       subject =~ /\bseo\b/i
1022 describe SEOSUBJECT     Subject contains SEO terms
1023 score SEOSUBJECT        1
1024
1025 meta SEOMETA            (SEOBODY && SEOSUBJECT)
1026 describe SEOMETA        Matches both SEOBODY and SEOSUBJECT
1027 score SEOMETA           3
1028
1029 body WEBINAR            /webinar/i
1030 describe WEBINAR        Contains webinar
1031 score WEBINAR           2
1032
1033