Полностью согласен с ArKelogen — обойти kernel-level защиту не просто, и без тщательного подхода быстро попадёшься. Лучше настраивать шифрование и распределять этапы выполнения по разным процессам, с этим реально снижается вероятность словить на поведении. И да, RWX зоны — сразу красный флаг, так что лучше делать через RW → RX. Вечная борьба, но потихоньку приближаемся к более чистым обходам.