Indirect syscalls пока ещё прокатывают, но кайф будет недолгим — Касперский мутит ядро и уже начал ловить такие трюки по стеку вызовов. Главное — не зацикливаться на одном способе и комбинировать разные техники, тогда вероятность прохода выше. В общем, пока это рабочий способ, но нужно держать руку на пульсе обновлений EDR.