if ($args ~* "..[a-f0-9][a-f0-9]..[a-f0-9][a-f0-9]") {
return 403;
}
2010/02/24 16:02:44 [notice] 22856#0: *1 "(..[a-f0-9][a-f0-9]){2,}" does not match "r=%5Cxd0%5Cxb7%5Cxd0%5Cxb2%5Cxd0%5Cxb5%5Cxd1%5Cx80

И о чудо!
такой вариант
if ($args ~* "..[a-f0-9][a-f0-9]") {
return 403;
}

вдруг сработал
010/02/24 16:05:27 [notice] 23053#0: *1 "..[a-f0-9][a-f0-9]" matches "r=%5Cxd0%5Cxb7%5Cxd0%5Cxb2%5Cxd0%5Cxb5%5Cxd1%5Cx80

полтергейст какой-то

Но он не годится. Могут быть ложные сработки.