Gli hook sono punti di esecuzione di WordPress in cui il codice personalizzato può essere eseguito durante il normale trattamento di una pagina o di una richiesta. Si presentano in due forme principali: le action, che consentono al codice di svolgere un'operazione in un momento specifico, e i filter, che consentono al codice di modificare i dati prima che WordPress li utilizzi. Questo design rende WordPress flessibile, ma offre anche agli attaccanti un punto affidabile a cui agganciare logica malevola senza sostituire i file del core.
Nelle attacchi reali, il malware può registrare un hook tramite un plugin, un tema, un plugin must-use o contenuti inseriti nel database, in modo che il suo payload venga eseguito a ogni richiesta, accesso o caricamento di contenuti. Questo può aiutare l'attaccante a persistere, a ricaricare backdoor rimosse o a nascondere il comportamento all'interno della normale attività del sito. I difensori cercano callback non familiari, nomi di funzione sospetti, payload codificati e registrazioni di hook nei file e nelle righe del database. La pulizia di un sito spesso significa rimuovere il codice malevolo e ogni hook che punta ancora a esso.