A expressão regular pode ser algo como:
/name=[^>]*\.(bat|cmd|exe|com|pif|reg|scr|vb|vbe|vbs)/
para corresponder aos anexos cujos nomes de arquivos terminam com extensões que significam executáveis potencialmente perigosos do Windows.
A ação pode ser como:
REJECT
para simplesmente rejeitar emails que correspondam à expressão, ou:
REDIRECT spam@yourdomain.com
Encaminhar correio para outro endereço.