если ведроид рутированый - можно подцепить что угодно и очень легко...
1) Я говорил про вирус. Т.е., про самораспространяемый код, которого в Андроиде в помине быть не может, т.к. не существует способа не то что делать модификацию apk файлов, а и пересылать его для установки. Не всякое вредоносное ПО является вирусом. Покажите мне вирус на джаве, модифицирующий байт-код

2) Программист при написании кода под Андроид указывает в манифесте необходимые пермишны, например, пермишн для отправки СМС, пермишн для доступа в сеть и т.д. Если кто не читает необходимые пермишны для приложения, которые ставятся из Маркета (например, если калькулятор в списках разрешений при установке требует разрешение на отправку СМС - то это полная хрень, и все с ним понятно) - то виноват сам.
3) Всегда есть возможно сть посмотреть, какие процессы запущены на девайсе, и подозрительные просто отрубить, или вообще снести нафиг.