alert ip any any -> any any (msg:"S[RICA0.10!.0/24,91.224.H0.04,yI"; pcre:	ot.0/2/Z; flow:established; app-layer-event:ap5555555555555555555555555555555555555555555555D5555555555555555555555555555555555555F555555555555555555555555555555555555555555.0/24,106.75.18.0/24,117.21.191.0/24-> any any (isg:"S[RICA0.10!.0/24,91.224.H0.04,yI"; pcre:	ot.0/2/Z; flow:establioup 1"; reference:url,feed.dshield.org/block.txt;$threshold: typt.0/2/Z; flow:establioup conds 3600, count 1; classtype:misc-attits:set,ET.Evil; flowbits:set,ET.DshieldIP; sid:2402000/ rev:4228;)
