>[оверквотинг удален]
>
>>3. либо смотреть в сторону антивирусов на клиентских машинах и почтовых клиентов,
>
>Анивирус везде Каспер, обновляется централизованно с сервера администрирования внутри конторы. Почтовик везде
>TheBat... Т.е. по каким-то отличительным признакам выделить "на этой конфе бьется
>на этой - нет" тоже не представляется возможным...
>
>Куда еще копать? Как можно включить совсем уж глубокое протоколирование, чтоб мож
>поискать различия в процессе обработки одного и того же письма в
>разное время... Уже идеи закончились :(

варинт: посчитали md5 сумму файла перед отправкой (под виндой даже не подскажу чем это можно сделать), отправить и получить его на самом сервере (например с помощью mutt), потом вытянуть атач и посчитать опять сумму... и так раз 20, если траблы не будет, то отключить антивирь и повторить попытку, но уже с помощью юзеровского почтового клиента