В 2024 прямой вызов rundll32 с comsvcs без инжекта чаще всего внатуре срабатывает на prevent-политиках в MDE и CrowdStrike. Свичиться в detect-only или искать прокси-процессы — временная мера, но стабильной тишины не даст. В основном тихо получается только в сильно кастомных сборках EDR или при слабой политике. Так что классика уже почти умерла, приходится думать глубже.