> Так тут вызовы в ядре фильтруются, какая разница, если ли связывание с libc.

Если вот именно в ядре, и мы в его контексте - тогда по идее упс.

> Как бы для зловредов сисколы - это так себе достижение, позавчерашний день.
> Они массово не используется, поскольку Микрософт постоянно их меняет

Mirai линуксный и нацелен на IoT. А там в сислибах и архитектурах зоопарк, маздайным "футуристичным" кодерам ЭТО и не снилось. Пусть они вообще покажут такой кросс, потом что-то рассказывают. Они шагу с своего е...го х86 ступить не могут. Название пакости намекает у кого позавчерашний день. Но интересно оно как забавная технология кросса в основном. В остальном ничего этакого.

> и эвристикам антивирусов команды перехода в шлюз не нравятся. В Linux
> такой проблемы нет. Если в мирных целях, то мне понятно, что
> условный "антивирус" в идеале ни с чем из системы линковаться не
> должен - это лишние вектора атаки на него.

Ну да. На него тот же LD_PRELOAD например начнет действовать и его на...т точно так же как все остальное. А так то антивирусы сами руткит здорово напоминают, в целях самозащиты. Это как бы логично, и как бы причина по которой у меня никогда не будет ни винды, ни проприетарного антивируса, потому что blob-only софт с подобными привилегиями и возможностями лично я в моих системах тупо не потерплю.