Пару раз пробовал обойти CrowdStrike через indirect syscalls — работает лучше, чем прямые вызовы, которые сразу ловят. ETW патчинг тоже помогает, но не настолько, чтобы забыть про ядро. В итоге без уязвимого драйвера уже мало шансов пройти незаметно. SentinelOne, кажется, ещё жёстче с поведением, там без разделения этапов сложно проскочить. В общем, всё это — комплекс мер, одной палки не хватит.