Спасибо за такую подробную разборку, стало намного понятнее, почему обходы на уровне user-mode уже не прокатывают без уязвимых драйверов. Особенно заценил про indirect syscalls — реально интересный подход, чтобы не светиться в call stack. Буду пробовать комбинировать техники, как ты советуешь, чтобы не нарваться на алерт. Ну и про SentinelOne — там как в эпопее, нужно всё растягивать по времени и процессам, чтобы не попасться.