04_minsal_phishing_adv.cf

header      ZTD_SUB_FAX                 subject =~ /fa\-x/i
describe    ZTD_SUB_FAX                 FA-X, lo que parece ser parte de un conocido spam
score       ZTD_SUB_FAX                 0.3

header      ZTD_SUB_SORTEO              subject =~ /sorteo/i
describe    ZTD_SUB_SORTEO              FA-X, lo que parece ser parte de un conocido spam
score       ZTD_SUB_SORTEO              0.3

# TODO: Acá resulta que podríamos hacer algo similar a FROM_MINSAL_INVALIDA, quizá más barato
# header      ZTD_SUB_GOOGLE              from =~ /.+/i
# describe    ZTD_SUB_GOOGLE              Pretende hacerse pasar por Google
# score       ZTD_SUB_GOOGLE              0.1

# TODO: Unir con los saludos que están abajo
# TODO: Este podría servir de base para otras combinaciones
body        __ZTD_SALUDO                /(?:contento\sde|me\scomplace)\scontactar\scon(?:tigo|\susted)/i
describe    __ZTD_SALUDO                Contento de contactar con usted

body        ZTD_QUERIDO_GUSUARIO        /dear\sgoogle\suser/i
describe    ZTD_QUERIDO_GUSUARIO        Dear google user
score       ZTD_QUERIDO_GUSUARIO        0.2

body        ZTD_PRESENTACION_01         /gerente\sdel?\sbanco\s(?:de|en|con)(?:\suna)?\ssucursal/i
describe    ZTD_PRESENTACION_01         Gerente de banco en una sucursal
score       ZTD_PRESENTACION_01         0.4

body        ZTD_PRESENTACION_02         /tengo\sel\shonor\sde\sanunciar\s?l(?:e|a)(?:\s\w+){0,2}\snoticia/i
describe    ZTD_PRESENTACION_02         Tengo el honor de anunciarle la noticia
score       ZTD_PRESENTACION_02         0.6

# Que más bien es una firma, pero cumple el mismo propósito
body        ZTD_PRESENTACION_03         /ceo\sgoogle\suk/i
describe    ZTD_PRESENTACION_03         CEO Google UK
score       ZTD_PRESENTACION_03         0.4

body        ZTD_INVERSION_MEDIANTE      /invertir\sen\ssu\spa(?:í|i|.)s\s(?:mediante|a\strav(?:e|é|.)s\sde)\s(?:t|s)u\sa(?:yuda|sistencia)/i
describe    ZTD_INVERSION_MEDIANTE      Invertir en su país mediante su ayuda
score       ZTD_INVERSION_MEDIANTE      0.4

body        ZTD_MEDIO_INVERSION         /me\sgustar(?:í|i|.)a\stransferir\sa\ssu\scuenta/
describe    ZTD_MEDIO_INVERSION         Transferencia: Me gustaría transferir a su cuenta
score       ZTD_MEDIO_INVERSION         0.4

body        ZTD_MEDIO_INVERSION_02      /(?:noticia|aviso)\s(?:sobre|acerca)\sd?el\s(?:loter(?:í|i|.)a|juego)/i
describe    ZTD_MEDIO_INVERSION_02      Noticia sobre la lotería del juego
score       ZTD_MEDIO_INVERSION_02      0.5

# Tendría que considerarse más como un saludo en forma de pregunta
body        ZTD_INTERESADO_CREDITO      /are\syou\sinterested\sin\sa\sloan/i
describe    ZTD_INTERESADO_CREDITO      Are you intereted in a loan
score       ZTD_INTERESADO_CREDITO      0.2

body        ZTD_OFRECEMOS_CREDITO       /we\soffer\sdifference\skind\sof\sloan/i
describe    ZTD_OFRECEMOS_CREDITO       We offer difference kind of loan
score       ZTD_OFRECEMOS_CREDITO       0.2

# RAZONES

body        ZTD_RAZON_SELECCION_01      /(?:despu(?:e|é|.)s|luego)\sde\svari(?:o|a)s\sinvestiga(?:ciones|dores)\soficiales/i
describe    ZTD_RAZON_SELECCION_01      Después de varias investigaciones oficiales
score       ZTD_RAZON_SELECCION_01      0.4

body        ZTD_RAZON_SELECCION_02      /el\ssorteo(?:\sse)?\s(?:llev|realiz)(?:ó|o|.)(?:\sa\scabo)?\sen(?:\s\w+){1,2}\s[0-9]+/i
describe    ZTD_RAZON_SELECCION_02      El sorteo se realizó en enero de 2017 
score       ZTD_RAZON_SELECCION_02      0.6

body        ZTD_RAZON_SELECCION_03      /you\shave\sbeen\sselected\sas\sa\swinner/i
describe    ZTD_RAZON_SELECCION_03      You have been selected as a winner
score       ZTD_RAZON_SELECCION_03      0.5

body        ZTD_PAQUETE_SIN_ENTREGAR    /nuestro\smensajero\sno(?:\sha)?\sp(?:ue?d(?:o|e)|odido)\sentregar\s(?:el|tu|su)\s+?paquete/i
describe    ZTD_PAQUETE_SIN_ENTREGAR    Nuestro mensajero no pudo entregar el paquete
score       ZTD_PAQUETE_SIN_ENTREGAR    0.2

# Fin de Razones

# DETALLES

body        ZTD_RAZON_INTERMEDIARIO     /no\spuedo\sestar\sdirectamente\sinvolucrado\s(?:porque|ya\sque)\s(?:a(?:ú|u|.)n|todav(?:í|i|.)a)/i
describe    ZTD_RAZON_INTERMEDIARIO     No puedo estar directamente involucrado
score       ZTD_RAZON_INTERMEDIARIO     0.4

body        ZTD_RAZON_INTERMEDIO_02     /is\svery\sdifficult.+?send\sthis\sinformation\sto\s.+?ministries/
describe    ZTD_RAZON_INTERMEDIO_02     Es muy difícil para mí enviar esta información a todos los ministerios del mundo
score       ZTD_RAZON_INTERMEDIO_02     0.4

body        ZTD_FOR_USING_SERVICES      /for\susing\sgoogle\sservices/i
describe    ZTD_FOR_USING_SERVICES      For using google services
score       ZTD_FOR_USING_SERVICES      0.3

# Fin de DETALLES

# MEDIANTES

body        ZTD_MAS_INFORMACION         /para\sobtener\sm(?:á|a|.)s\sinformaci(?:ó|o|.)n(?:\s?,)?\sconsulte\s(?:el|la)\s(?:tarea|archivo)\sadjunt(?:a|o)/i
describe    ZTD_MAS_INFORMACION         Para obtener más información, consulte el archivo adjunto
score       ZTD_MAS_INFORMACION         0.2

body        ZTD_LLAMAR_CON_DATOS        /(?:debe|tiene)(?:\sque|de)?\sllamar\scon\ssu\s(?:nombre|apellido)\sy\s(?:nombre|apellido)/i
describe    ZTD_LLAMAR_CON_DATOS        Debe llamar con su nombre y apellido
score       ZTD_LLAMAR_CON_DATOS        0.2

body        ZTD_CONTACTENOS             /if\syou\sare\sinterested\scontact.+?e?mail/i
describe    ZTD_CONTACTENOS             If you are intereted contact us via email
score       ZTD_CONTACTENOS             0.2

# Fin de MEDIANTES

# OBJETIVOS

body        ZTD_PARA_RECIBIR_PAQUETE    /para\s(?:recibir|la\sentrega\sde)\s+?su\spaquete/i
describe    ZTD_PARA_RECIBIR_PAQUETE    Para recibir su paquete
score       ZTD_PARA_RECIBIR_PAQUETE    0.3

body        ZTD_BENEFICIO               /(?:usted|tu)\s(?:recibir|obtendr)(?:á|a|.)s?\s?(?:el|un)?\s[0-9%.]+\sde(?:l|\slas)\s(?:fondo|ganancias)/i
describe    ZTD_BENEFICIO               Usted recibirá un 25% de las ganancias
score       ZTD_BENEFICIO               0.4

# Fin de OBJETIVOS

# HITS

body        __ZTD_HIT_MICROSOFT         /microsoft/i
describe    __ZTD_HIT_MICROSOFT         Microsoft

body        __ZTD_HIT_GRACIAS           /gracias/i
describe    __ZTD_HIT_GRACIAS           Gracias

body        ZTD_HIT_JPMORGAN_01         /(?:acad(?:é|e|.)micos|profesores)\sy\s(?:acad(?:é|e|.)micos|profesores)\spueden\sya\ssolicitar/i
describe    ZTD_HIT_JPMORGAN_01         Académicos y profesores ya pueden solicitar
score       ZTD_HIT_JPMORGAN_01         1.0

body        ZTD_HIT_JPMORGAN_02         /en\scontacto\scon\s[\w\.\,]+\sexpertos\sen\sel\ssalvador/i
describe    ZTD_HIT_JPMORGAN_02         En contacto con 23.456 expertos en El Salvador
score       ZTD_HIT_JPMORGAN_02         0.9

body        ZTD_HIT_JPMORGAN_03         /en\scontacto\scon.+?\sexpertos\sa\snivel\sglobal/i
describe    ZTD_HIT_JPMORGAN_03         En contacto con 23,456 expertos a nivel global
score       ZTD_HIT_JPMORGAN_03         0.9

body        ZTD_HIT_JPMORGAN_04         /contacte\scon\sel\sexperto\sso.ador/i
describe    ZTD_HIT_JPMORGAN_04         Contacte con el experto soñador
score       ZTD_HIT_JPMORGAN_04         1.0

meta        ZTD_JPMORGAN_IMAGEN         (HIT_JPMONFORT && T_REMOTE_IMAGE)
describe    ZTD_JPMORGAN_IMAGEN         JP MONFORT y una imagen externa en lugar de contenido
score       ZTD_JPMORGAN_IMAGEN         1.2

body        __ZTD_IMPORTANTE_MINSAL_ES  /importante\sa\sal\sministerio\sde\ssalud/i
describe    __ZTD_IMPORTANTE_MINSAL_ES  Importante al Ministerio de Salud

body        __ZTD_IMPORTANTE_MINSAL_EN  /important\sfor\sthe\sministry\sof\shealth/i
describe    __ZTD_IMPORTANTE_MINSAL_EN  Important for the ministry of health

meta        ZTD_IMPORTANTE_MINSAL       (__ZTD_IMPORTANTE_MINSAL_ES && __ZTD_IMPORTANTE_MINSAL_EN)
describe    ZTD_IMPORTANTE_MINSAL       Dice en dos idiomas una conocida frase spam, lo que de hecho es una conocida firma spammer
score       ZTD_IMPORTANTE_MINSAL       0.5

body        ZTD_SALVAVIDAS              /this\smessage.+?can\ssave\sthe\slives\sof\smillions/i
describe    ZTD_SALVAVIDAS              Este mensaje puede salvar la vida de millones
score       ZTD_SALVAVIDAS              0.5

body        ZTD_RESPONSABLE_GENOCIDIO   /if\snot.+?responsible\sfor\sthe\sdeath\sof\smillions/i
describe    ZTD_RESPONSABLE_GENOCIDIO   Si no, serán responsables por la muerte de millones de personas
score       ZTD_RESPONSABLE_GENOCIDIO   0.5

body        ZTD_INSTRUCCIONES           /you.+?make\san\salarm\sto\salert\syou.+?enter\sthe\swebsite/i
describe    ZTD_INSTRUCCIONES           Tu debes hacer una alarma que te recuerde entrar al sitio
score       ZTD_INSTRUCCIONES           0.4

# Evitando el Genocidio
body        ZTD_GM_RAZON_01             /there\sare.+?suicides.+?suffering.+?surgery/i
describe    ZTD_GM_RAZON_01             Hay suicidios relacionados con el sufrimiento de estas cirugías
score       ZTD_GM_RAZON_01             0.4

body        ZTD_RANGO_MILLONES_DOLARES  /\$[0-9\.,]{2,}\sto\s\$[0-9]{2,}(?:\s?millions?)?/i
describe    ZTD_RANGO_MILLONES_DOLARES  $10000 to 10Millions
score       ZTD_RANGO_MILLONES_DOLARES  0.2

body        ZTD_FELICIDADES_DE_GOOGLE   /congratulations.+?(?:\s(?:staffs|members)){0,2}google/i
describe    ZTD_FELICIDADES_DE_GOOGLE   Congratulations on behalf of the Staffs & Members of Google
score       ZTD_FELICIDADES_DE_GOOGLE   0.4

body        ZTD_TERMINOS_GOOGLE         /google(?:\s|\-)+terms\s&\sprivacy/i
describe    ZTD_TERMINOS_GOOGLE         Google - Terms & Privacy
score       ZTD_TERMINOS_GOOGLE         0.2

# Fin de HITS

# SALUDOS

body        ZTD_ATENTAMENTE_DIRECCION   /atentamente\sdirecci(?:ó|o|.)/i
describe    ZTD_ATENTAMENTE_DIRECCION   Atentamente Dirección
score       ZTD_ATENTAMENTE_DIRECCION   0.3

meta        __ZTD_SALUDOS               (ZTD_ATENTAMENTE_DIRECCION)
describe    __ZTD_SALUDOS               Distintas formas de saludos encontrados en estafas

# Fin de SALUDOS

meta        ZTD_MEMBRETE_GOOGLE         (ZTD_QUERIDO_GUSUARIO && ZTD_FELICIDADES_DE_GOOGLE && ZTD_TERMINOS_GOOGLE)
describe    ZTD_MEMBRETE_GOOGLE         Esta queriendo dejar en claro que se trata de Google
score       ZTD_MEMBRETE_GOOGLE         0.9

# Este es la firma para \#59
meta        ZTD_FIRMA_01                (__ZTD_SALUDO && ZTD_PRESENTACION_01 && ZTD_RAZON_SELECCION_01 && ZTD_INVERSION_MEDIANTE && ZTD_MEDIO_INVERSION && ZTD_RAZON_INTERMEDIARIO && ZTD_BENEFICIO)
describe    ZTD_FIRMA_01                Firma según \#59
score       ZTD_FIRMA_01                3.0

# Esta es la firma para \#61            
meta        ZTD_FIRMA_02                (ZTD_SUB_FAX && ZTD_PRESENTACION_02 && ZTD_MEDIO_INVERSION_02 && ZTD_RAZON_SELECCION_02 && ZTD_MAS_INFORMACION)
describe    ZTD_FIRMA_02                Firma según \#61
score       ZTD_FIRMA_02                3.0

# Firma para \#63
meta        ZTD_FIRMA_03                (ZTD_QUERIDO_GUSUARIO && ZTD_RAZON_SELECCION_03 && ZTD_FOR_USING_SERVICES && VTE_ADJUNTO_AL_MENSAJE && ZTD_PRESENTACION_03)
describe    ZTD_FIRMA_03                Firma según \#63
score       ZTD_FIRMA_03                3.0

# Firma para \#64
meta        ZTD_FIRMA_04                (ZTD_SUB_SORTEO && ZTD_PRESENTACION_02 && ZTD_MEDIO_INVERSION_02 && ZTD_RAZON_SELECCION_02 && ZTD_MAS_INFORMACION)
describe    ZTD_FIRMA_04                Firma según \#64
score       ZTD_FIRMA_04                3.0

# Firma para \#67
meta        ZTD_FIRMA_05                (ZTD_IMPORTANTE_MINSAL && ZTD_SALVAVIDAS && ZTD_RESPONSABLE_GENOCIDIO && ZTD_RAZON_INTERMEDIO_02 && ZTD_INSTRUCCIONES)
describe    ZTD_FIRMA_05                Firma según \#65
score       ZTD_FIRMA_05                3.0

meta        ZTD_FIRMA_06                (ZTD_INTERESADO_CREDITO && ZTD_OFRECEMOS_CREDITO && ZTD_CONTACTENOS && FILL_THIS_FORM)
describe    ZTD_FIRMA_06                Firma según \#71
score       ZTD_FIRMA_06                1.2

meta        __ZT_FIRMAS                 (ZTD_FIRMA_01 || ZTD_FIRMA_02 || ZTD_FIRMA_03 || ZTD_FIRMA_04 || ZTD_FIRMA_05 || ZTD_FIRMA_06)
describe    __ZT_FIRMAS                 Las distintas firmas creadas hasta ahora

meta        ZTD_FIRMAS_DINERO           (__ZT_FIRMAS && (__LOTSA_MONEY_00 || __LOTSA_MONEY_01 || __LOTSA_MONEY_04 || __FRAUD_KDT))
describe    ZTD_FIRMAS_DINERO           La firma se ve casi confirmada por el hecho de que se habla de mucho dinero
score       ZTD_FIRMAS_DINERO           2.0

meta        ZTD_FIRMAS_SALUDO           (__ZT_FIRMAS && __ZTD_SALUDOS) 
describe    ZTD_FIRMAS_SALUDO           Pues que es una firma conocida de estafa, y se atreve a mostrarse educado
score       ZTD_FIRMAS_SALUDO           1.2

meta        ZTD_FIRMAS_OFUSCADAS        (__ZT_FIRMAS && POSIBLE_OFUSCAMIENTO)
describe    ZTD_FIRMAS_OFUSCADAS        Firmas sobre phishing avanzada dentro de contenio ofuscado
score       ZTD_FIRMAS_OFUSCADAS        1.8