え〜じさん、ご苦労様です。
こんなページを見つけました。
http://home.att.ne.jp/theta/tas/other/klez/

やはりアドレスで判断するのは難しいようです。今のところReceivedは
偽装できないようなので、発信元のhost情報を頼りにプロバイダに直接
連絡するのが一番手っ取り早いようですね。
プロバイダに出すメール文のひな形も載っているので、この方式で連絡を
とってみようかなと思います。