As chamadas do sistema Linux oferecem acesso direto ao hardware em alguns casos. Por exemplo. read () e write () podem ser aplicados a dispositivos brutos em / dev, ioctl () podem ser usados para inserir valores em registradores de hardware. Eu suponho que é mais simples interceptar tais atividades no momento do syscall do que antecipar tudo que um driver de dispositivo pode fazer e infestá-lo com retornos de chamada.