Um white hacker não "cria" malware.... coisas completamente diferentes.
Podes alegar que sim, um white hacker pode realizar atividades maliciosas, para encontrar falhas, e depois reportar as mesmas. E teoricamente isso não devia ser crime - embora para algumas empresas o seja...
Mas isso não está relacionado com o caso, onde se está a dizer basicamente que "criar malware é legal, mas usar depois o mesmo não".