En España creo que no es delito escribir malware sin mas. En Diciembre cambió la ley y si es delito crear malware para estafar, es decir troyanos bancarios, webs y sistemas de phishing, es un delito que no estaba contemplado y ahora sí. Pero creo que el creador de malware en general no esta cometiendo un delito por el simple hecho de escribirlo (a no ser que sea lo mencionado anteriormente).
El que no sea delito la creación quiere decir que la fiscalia no te va a perseguir por el hecho de crear. Tendrá que ser un usuario o empresa la que te denuncie por los daños causados por tu obra.
No se como será en otros paises y si alguien puede corregir o añadir algo a lo que he dicho.
Segun el nuevo artículo nuevo artículo 197.3:
Delitos informáticos: Defraudaciones
b) Los que fabricaren, introdujeren, poseyeren o facilitaren programas informáticos específicamente destinados a la comisión de las estafas previstas en este artículo."