Le syscall indirette sono una tecnica di esecuzione furtiva per Windows che cerca di aggirare il monitoraggio comune in user-mode. Normalmente, i prodotti di sicurezza possono osservare le chiamate delle applicazioni verso le API di Windows e individuare comportamenti sospetti. Con le syscall indirette, il malware raggiunge il servizio di sistema sottostante in un modo meno ovvio, spesso passando attraverso uno stub separato o un percorso di codice intermedio invece di chiamare direttamente la consueta funzione.
Questo è importante perché molte difese endpoint inseriscono hook nello spazio utente per ispezionare l'attività dei processi, le operazioni sulla memoria e le azioni legate alla sicurezza. Se il malware riesce a evitare questi hook, può ridurre la telemetria e ritardare il rilevamento. Gli attaccanti usano le syscall indirette in loader, injector e strumenti post-exploitation per rendere più difficile osservare il comportamento malevolo. I difensori cercano pattern di syscall insoliti, esecuzione di memoria sospetta, manomissione degli strumenti di sicurezza e segnali di altri livelli di evasione come BYOVD o l'iniezione di processi. Le syscall indirette non rendono il malware invisibile, ma possono rendere più difficile l'analisi e il rilevamento.