Le API di callback Win32 sono interfacce di Windows che consentono a un'applicazione di registrare una funzione e di farla chiamare in seguito dal sistema operativo quando si verifica un evento specifico. Tra gli esempi comuni ci sono i timer, i messaggi delle finestre, gli hook, l'I/O asincrono e le routine di enumerazione. Il meccanismo di callback è una normale scelta di progettazione software, ma offre anche agli attaccanti un modo per far eseguire il codice in modo indiretto invece che attraverso una funzione principale evidente.
Nel malware e nei loader furtivi, le callback possono aiutare a ritardare l'esecuzione, suddividere il lavoro in piccole parti o nascondere la logica malevola all'interno di un flusso di processo dall'aspetto legittimo. Questo può rendere più difficile tracciare l'esecuzione per i rilevamenti di base che cercano semplici avvii di processi o chiamate di funzione dirette. I difensori cercano spesso catene di callback insolite, moduli sospetti caricati in processi fidati e attività guidate da callback che non corrispondono al comportamento normale dell'applicazione. L'analisi dell'uso delle API nella telemetria e nella memoria può rivelare queste tecniche anche quando il payload stesso è nascosto.