L'expression régulière peut être quelque chose comme:
/name=[^>]*\.(bat|cmd|exe|com|pif|reg|scr|vb|vbe|vbs)/
pour faire correspondre les pièces jointes dont les noms de fichiers se terminent par des extensions indiquant des exécutables Windows potentiellement dangereux.
L'action peut être comme:
REJECT
pour simplement rejeter le courrier correspondant à l'expression, ou:
REDIRECT spam@yourdomain.com
Pour transférer le courrier vers une autre adresse.