> legitime Apps gegeben haben, die diesen Schadcode als Zusatzmodul mitbringen

Solche Apps sind überhaupt nicht legitim. Und überhaupt ist das Nachladen von Code an Google Play vorbei nicht in Ordnung. Auch komplexe JavaScript-Anwendungen, die den Code dynamisch laden, sind eine Seuche.