Un'API di callback Win32 è un'interfaccia di Windows che consente a un'applicazione di registrare una funzione da richiamare in seguito dal sistema operativo o da un altro componente. Invece di eseguire il codice direttamente, il programma fornisce un puntatore di callback o un gestore, e Windows lo invoca quando si verifica un evento o un'operazione specifica.
Queste API sono importanti nella sicurezza informatica perché rappresentano percorsi di esecuzione normali e legittimi che gli aggressori possono abusare per ottenere un'esecuzione indiretta del codice. Un loader o un implant può usare i callback per nascondere il flusso di controllo reale, far sembrare il comportamento malevolo una normale logica applicativa o complicare il rilevamento endpoint. I difensori dovrebbero prestare attenzione quando un programma firmato o attendibile mostra un comportamento insolito con molti callback, caricamenti di moduli inattesi, strane relazioni di parentela tra processi o schemi di esecuzione che non corrispondono allo scopo normale del software. Monitorare il modo in cui un'applicazione usa i callback è spesso più utile che verificare solo se l'API in sé è consentita.