Syscalls indirectas
Saltar a la instrucción de llamada al sistema que ya vive dentro de ntdll en lugar de llevar la propia, para que la pila de llamadas parezca normal. Un movimiento más en una carrera armamentística que lleva una década.
El contexto es que los productos de seguridad llevan mucho tiempo enganchando las funciones en modo usuario de ntdll para ver qué intenta hacer un proceso. La respuesta fueron las syscalls directas: poner la instrucción en el propio código y saltarse toda la biblioteca. Funcionaba, pero creaba un nuevo rastro, porque la dirección de retorno acababa apuntando a memoria que no pertenece a ningún módulo conocido — una anomalía trivial de detectar en cuanto se sabe que hay que buscarla. Las syscalls indirectas resuelven esto configurando los registros uno mismo y saltando después a la instrucción donde ya reside, dentro de la biblioteca, lo que produce una pila más difícil de distinguir de una normal. La detección correspondiente se ha desplazado hacia una reconstrucción más completa de la pila y hacia los propios callbacks del kernel, que quedan fuera del alcance del proceso.