間接システムコール
自前でsyscall命令を持たず、ntdll内にあるsyscall命令へジャンプして、コールスタックを正常に見せる手法。10年続く軍拡競争の一手である。
背景として、セキュリティ製品は長年、ntdllのユーザーモード関数をフックして、プロセスが何をしようとしているかを監視してきた。これに対抗する手段が直接システムコールで、命令を自分のコードに置いてライブラリを丸ごと迂回する。だがこれは新たな痕跡を生んだ。戻りアドレスが、どのモジュールにも属さないメモリを指してしまうのだ。見るべき場所がわかれば、警告を出すのは造作もない異常である。
間接システムコールはレジスタを自分で設定したうえで、ライブラリ内に元からある命令へジャンプすることでこれを解決し、通常のスタックと見分けにくいスタックを作る。検知側も、より完全なスタックの再構築や、プロセスの手が届かないカーネル側のコールバックへと移ってきた。