Помню времена, когда обход EDR на Linux был просто вопросом LD_PRELOAD и патча glibc. Сейчас с io_uring и eBPF всё куда хитрее — крутой трюк с асинхронкой, которая у многих EDR осталась за кадром. Но этот рай для обхода быстро тает, если поставлен продвинутый мониторинг ядра или хотя бы проверка eBPF-программ. Короче, игра в кошки-мышки стала повеселее, но и сложнее. Кто успеет — тот и съест пирог.