Indirecte syscalls
Naar de systeemaanroep-instructie in ntdll springen in plaats van een eigen exemplaar mee te nemen, zodat de callstack er normaal uitziet. Eén zet in een wapenwedloop die al tien jaar loopt.
De achtergrond: beveiligingsproducten hooken al lang de gebruikersmodusfuncties in ntdll om te zien wat een proces probeert te doen. De tegenzet was directe systeemaanroepen: de instructie in de eigen code zetten en de bibliotheek helemaal omzeilen. Dat werkte, maar schiep een nieuw spoor, want het retouradres wijst dan naar geheugen dat bij geen enkele bekende module hoort — een anomalie die zich eenvoudig laat alarmeren zodra bekend is waar op te letten. Indirecte systeemaanroepen lossen dat op door zelf de registers in te stellen en dan te springen naar de instructie waar die al staat, in de bibliotheek, waardoor een stack ontstaat die moeilijker van een gewone te onderscheiden is. Detectie is dienovereenkomstig verschoven naar uitgebreidere stackreconstructie en naar de eigen callbacks van de kernel, die buiten het bereik van het proces liggen.