Похоже, indirect syscalls ещё держатся, но реально чувствуется, что Каспер давно копает по стеку и скоро эта тема будет закрыта. Комбинация с другими методами действительно помогает, иначе быстро сливают на уровне ядра. В любом случае, если не поддерживать свой инструмент в актуальном состоянии, толку от обходов почти нет, особенно у Каспера. Надо постоянно тестить и в любой момент ждать, что что-то перестанет проходить.