Тут важный момент — indirect syscalls работают, но уже не так свободно, как раньше. Каспер реально копает в глубину, а PT Sandbox всё больше увязает именно в поведении, а не только в вызовах. Так что без микса разных подходов далеко не уйдёшь, иначе быстро проскакивать перестанут. Главное — не сидеть на месте и постоянно тестить новые варианты.