Регулярное выражение может быть что-то вроде:
/name=[^>]*\.(bat|cmd|exe|com|pif|reg|scr|vb|vbe|vbs)/
сопоставлять вложения, имена файлов которых заканчиваются расширениями, обозначающими потенциально опасные исполняемые файлы Windows.

Действие может быть как:
REJECT
просто отклонить почту, соответствующую выражению, или:
REDIRECT spam@yourdomain.com
Переслать почту на другой адрес.