Круто, что поднял такую тему. Живой EDR и правда быстро режут стандартный python-процесс, поэтому просто переписать код — не выход. Мне кажется, ключ в комбинировании маскировки трафика и переходе на компилированные бинарники. Иначе даже с jitter и XOR-шаманством долго не протянешь, фреймворк быстро упадёт. Плюс не забывать про отложенное выполнение команд — это реально ломает корреляцию в логах.