API hooking è l'intercettazione di una chiamata di funzione, in modo che il software possa osservarla, modificarne gli argomenti o sostituirne il risultato. In Windows, questo viene spesso fatto applicando patch alle funzioni in modalità utente, reindirizzando l'esecuzione a un'altra routine o inserendo un trampolino prima che il codice originale venga eseguito.
Nella sicurezza informatica, l'hooking viene usato sia dai difensori sia dagli aggressori. Gli strumenti di sicurezza possono effettuare hook delle API per monitorare la creazione di processi, l'accesso ai file, l'attività di rete o l'uso delle credenziali. Il malware può effettuare hook delle stesse API per nascondere il proprio comportamento, filtrare ciò che vedono gli strumenti di monitoraggio, bloccare i controlli di sicurezza o restituire risultati falsi. Può anche essere combinato con payload in memoria e system call indirette per indebolire l'ispezione in modalità utente. Poiché molti rilevatori si basano sulla visibilità delle API, l'hooking può distorcere la telemetria e far sembrare un attacco più silenzioso di quanto non sia realmente.