Indirect syscalls работает пока что, но похоже Касперский копает глубже и скоро это будет под контролем. С другой стороны, PT Sandbox акцентирует внимание на поведении всего процесса, так что syscall-техники там менее эффективны. SEKOIA зависит от того, какой агент подрублен, и там всё сильно варьируется. В общем, подходы разные, и каждый требует своей стратегии обхода. Поддерживать инструменты в актуальном состоянии — единственный способ остаться в игре.