Uobičajeni izraz može biti nešto poput:
/name=[^>]*\.(bat|cmd|exe|com|pif|reg|scr|vb|vbe|vbs)/
da se podudaraju s prilozima čiji se nazivi završavaju ekstenzijama koje označavaju potencijalno opasne izvršne Windows.
Radnja može biti poput:
REJECT
jednostavno odbiti poštu koja odgovara izrazu ili:
REDIRECT spam@yourdomain.com
Za prosljeđivanje pošte na drugu adresu.