Злоумышленники могут внедрять вредоносный код в процессы через очередь асинхронных вызовов процедур (APC) с целью обхода защиты, действующей на уровне процессов, а также для повышения уровня своих привилегий. Внедрение через APC — это способ выполнения произвольного кода в адресном пространстве отдельного активного процесса.

Внедрение через APC обычно осуществляется посредством добавления вредоносного кода в очередь APC потока процесса. Стоящие в очереди функции APC выполняются, когда поток входит в изменяемое состояние. Сначала создается дескриптор существующего целевого процесса с использованием вызовов нативного API Windows, таких как OpenThread. Далее может использоваться QueueUserAPC для вызова функции (например, LoadLibrayA), указывающей на вредоносную DLL.

Вариация внедрения через APC, получившая название Early Bird ("Ранняя пташка"),", использует создание приостановленного процесса, в который может быть внедрен вредоносный код и затем запущен еще до того, как происходит вызов точки входа процесса (и срабатывание потенциальных перехватчиков вредоносного ПО) посредством APC . AtomBombing — еще одна вариация, использующая APC для вызова вредоносного кода, ранее записанного в глобальную таблицу атомов.

Запуск кода в контексте другого процесса может обеспечить доступ к памяти процесса, системным и сетевым ресурсам и, возможно, повышенным привилегиям. Выполнение посредством APC также дает возможность избежать обнаружения защитными решениями, поскольку маскируется под легитимный процесс.