La risoluzione dinamica delle API è una tecnica in cui un programma cerca le funzioni del sistema operativo mentre è in esecuzione invece di elencarle chiaramente nella propria tabella di importazione. Il malware spesso lo fa eseguendo l'hashing dei nomi delle funzioni, caricando manualmente le DLL e convertendo tali hash nei relativi indirizzi reali solo quando necessario. In questo modo nasconde indizi leggibili agli scanner statici e rende più lenta l'analisi inversa.
Questo è importante nella sicurezza informatica perché le tabelle di importazione, le stringhe e i metadati sono segnali comuni per la classificazione iniziale. Quando questi segnali vengono rimossi o ritardati, i difensori devono affidarsi di più al comportamento: caricamento sospetto di moduli, attività insolite dei processi, sequenze di chiamate API e analisi della memoria. Negli attacchi, la risoluzione dinamica delle API è spesso associata a codice compresso, creazione di stringhe a runtime e altre tecniche evasive. Nelle difese, il sandboxing e la telemetria degli strumenti endpoint aiutano a rivelare le chiamate effettive una volta che il campione viene eseguito.