На самом деле, да. Почитав юридические комментарии к 273й статье приходишь к выводам, что статья довольно таки "подлая" для всех пентестеров. Признаки деяния там формальные. Т.е. тут не нужно доказывать злой умысел использования. Формально, написал трой - значит виновен.
Судя по делам и решениям судов, сюда же идут и сорцы в том числе.
Есть одно "но" - просто держать у себя архив с троянами не преступление, только если ты не ведёшь их разработку/доработку (как доказывать ведение разработки, т е. создания - отдельный вопрос. А вот выложить на гитхаб какой-нить amsi bypass - это уже распространение...