Круто расписано, особенно за indirect syscalls — это правда помогает остаться в тени. И да, RWX - это сразу тревога для EDR, с этим перебор. Ещё заметил, что если шифровать нормально, но не делать разграничение по процессам, частенько ловят на поведении. Так что всё вместе — вот где сила, а не по отдельности.