#110. 日本では刑法168条の2, 3に該当するのでは？
以下、紹介するだけにとどめます。投稿者はアンチウイルスをすり抜けるボットネットと検出されない(undetected)C2サーバー（コマンドアンドコントロールサーバー）を作成したといいます。合法的に、という副詞をカッコで括っています。ソースをGithubに置いています。参照する分は自由でしょうが、真に受けて構築を開始するべきではないでしょう。
以前にも紹介しましたが、刑法168条（不正指令電磁的記録に関する罪）の構成要件を満たすわけで、「検証したかった」、「EICARと同じ感覚だった」は通らないと思います。
当該条文における判例を見ると、存外にシビアです。