Syscalls indiretas
Saltar para a instrução de chamada de sistema que já existe dentro da ntdll, em vez de carregar a sua própria, para que a pilha de chamadas pareça normal. Um lance numa corrida armamentista que dura uma década.
O contexto é que os produtos de segurança há muito tempo instalam hooks nas funções em modo usuário da ntdll para ver o que um processo tenta fazer. O contra-ataque foram as chamadas de sistema diretas: colocar a instrução no próprio código e contornar a biblioteca por completo. Funcionou, mas criou um novo rastro, porque o endereço de retorno passava a apontar para uma memória que não pertence a nenhum módulo conhecido — uma anomalia trivial de alertar quando se sabe o que procurar. As chamadas de sistema indiretas resolvem isso preparando os registradores por conta própria e saltando para a instrução onde ela já está, dentro da biblioteca, produzindo uma pilha mais difícil de distinguir de uma comum. A detecção, por sua vez, migrou para a reconstrução mais completa da pilha e para os callbacks do próprio kernel, que ficam fora do alcance do processo.