Création, hébergement, partage ou mise à disposition de logiciels malveillants —code conçu pour endommager des systèmes, voler des données, permettre des accès non autorisés, perturber des services ou recruter des dispositifs compromis dans des botnets— lorsque l'acteur facilite sciemment la diffusion ou le déploiement de ce code ; pénalisé quand l'activité est intentionnellement nuisible ou met imprudemment en danger des systèmes ou des données.

Principe

Le principe directeur est que distribuer du code destiné à compromettre la confidentialité, l'intégrité ou la disponibilité des systèmes constitue une infraction aux intérêts publics lorsque le distributeur agit sciemment ou avec imprudence, parce que cela externalise le risque à de multiples victimes au‑delà d'un litige privé.

Démonstration

Un individu empaquette un cheval de Troie qui exfiltre des identifiants, le téléverse sur des sites de partage et des forums avec des instructions d'utilisation et accepte des paiements pour les builds ; plusieurs entreprises subissent des brèches retraçables à ces fichiers et les procureurs poursuivent pour distribution en plus d'autres infractions liées au piratage.

Mauvaise application

Qualifier de distribution criminelle le partage d'outils de sécurité à double usage, de codes de preuve de concept inoffensifs ou d'extraits de code postés à des fins pédagogiques sans preuve d'intention de faciliter un usage malveillant ; une telle application risque de refroidir la recherche en sécurité.

Conséquence

Prouver la distribution peut aboutir à la saisie d'appareils, à des sanctions pénales, à des injonctions et à des obligations de remédiation ; une application efficace réduit la disponibilité d'armes pour attaquants opportunistes et peut perturber des botnets et des écosystèmes de logiciels malveillants.

Inversion

L'inverse est la publication légitime de logiciels et d'outils de sécurité destinés à un usage défensif autorisé, la recherche en cybersécurité en open source partagée selon des pratiques de divulgation responsable et les outils de tests d'intrusion distribués avec le consentement des clients.

Limite

Couvre la distribution intentionnelle de logiciels malveillants et la facilitation de leur propagation ; exclut le code purement académique ou défensif partagé sous divulgation responsable, la distribution à des clients consentants pour des tests et les logiciels dépourvus de charge malveillante ou d'intention nuisible.

Tension sémantique

Tension entre la criminalisation de la distribution d'outils dangereux et la protection de la recherche en cybersécurité légitime et des technologies à double usage ; distinguer l'intention malveillante de la recherche légitime dépend du contexte, du mode de distribution, des instructions accompagnantes et de l'intention de l'acteur.

Synthèse

La Distribution de Logiciels Malveillants est l'acte de rendre sciemment disponible un code nuisible —en le publiant, en le vendant ou en facilitant sa propagation— de sorte qu'il permette un accès non autorisé, des dommages ou une compromission de masse ; elle se distingue du travail de sécurité légitime par l'intention du distributeur, le contexte et le préjudice prévisible.