Una chiamata di sistema indiretta è un modo per il codice Windows di invocare i servizi del kernel senza chiamare direttamente il normale percorso API in modalità utente. Invece di usare una funzione esportata standard in ntdll.dll, il malware può passare attraverso uno stub personalizzato o un'istruzione syscall copiata per raggiungere il kernel evitando o aggirando gli hook in modalità utente.
Questo è importante perché molti strumenti EDR e di analisi si basano sull'intercettazione in modalità utente per osservare la creazione dei processi, l'allocazione della memoria, le modifiche alla protezione e il comportamento di injection. Saltando questi hook, il malware può rendere la propria attività più difficile da vedere, soprattutto durante le fasi di loader e di stager. I difensori spesso rispondono con telemetria del kernel, ETW, analisi della memoria e controlli di integrità per stub API manomessi o comportamenti insoliti con un uso intensivo di syscall. Negli attacchi reali, le syscall indirette sono comunemente usate per ridurre la visibilità durante l'esecuzione in memoria e altre azioni evasive.