Пока что indirect syscalls чаще всего проходят, но чувствуется, что Kaspersky активно качает детект на уровне ядра. Не удивлюсь, если в ближайших апдейтах начнут фиксить именно их — анализ стека и правда выглядит как естественный эволюционный шаг. Сильных кейсов с блокировками пока не встречал, но тревожно.