Het Cybercrime Verdrag van de Raad van Europa werd ook door de Verenigde Staten ondertekend, toch is het bezit van malware daar niet strafbaar. Het uit 2001 stammende verdrag stelt dat het bezitten van malware om een misdrijf mee te kunnen begaan op zichzelf ook een misdrijf is. Er is echter een voorziening aanwezig die een uitzondering mogelijk maakt zolang de verkoop, distributie of het op andere wijze beschikbaar stellen van wachtwoorden, toegangscodes of andere data om toegang tot een computer te krijgen maar bestraft wordt. In dit geval is het bezit van malware geen misdrijf, maar waarom hanteren de VS deze uitzondering?

Vrijheid van meningsuiting
Volgens Susan Brenner is het mogelijk dat het strafbaar stellen van malware in strijd met de vrijheid van meningsuiting is en computercode valt daaronder. Een andere reden is dat anti-virusbedrijven en onderzoekers malware voor legitieme doeleinden moeten kunnen bezitten. Het Cybercrime Verdrag stelt wel dat de malware voor het plegen van een misdrijf moet zijn bedoeld, maar mogelijk waren de VS toch nog bezorgd dat het strafbaar stellen tot problemen voor legitieme onderzoekers zou kunnen leiden.

Brenner stelt zichzelf dan ook de vraag of de VS de wetgeving moeten aanpassen en het bezit van wormen en Trojaanse paarden moeten bestraffen, net zoals het verboden is om gereedschap te verzamelen waarmee je kunt inbreken.