Aplicación de malware instalada, luego desinstalada inmediatamente- Próximos pasos de acción

Android no ejecutará nada de la aplicación en cuanto la instales. Una app sólo puede establecer alarmas, registrar receptores de emisión, etc. después de la primera vez que la ejecutes manualmente, por ejemplo mediante:

• lanzar una de sus actividades desde el lanzador
• haciendo clic en Abrir en la aplicación Play Store
• crear un widget de pantalla de inicio o de pantalla de bloqueo proporcionado por esta aplicación
• iniciarlo desde otra aplicación (a través de una acción Compartir o similar)

Esta no es una lista completa, pero debería ser bastante obvio qué acciones inician la aplicación. Si no has iniciado la aplicación, no puede haberse ejecutado todavía, a menos que el autor sea capaz de explotar un error en Android que nadie más conoce.

Esto es muy diferente a la situación de los sistemas operativos de escritorio. En Windows y en la mayoría de los gestores de paquetes de GNU/Linux, la instalación de una aplicación consiste en ejecutar el código proporcionado por el autor de la misma. En cambio, Android está diseñado para limitar lo que pueden hacer las aplicaciones. El propio Android instala el paquete leyendo su manifiesto que indica a Android el nombre del paquete y los componentes que contiene. Android desempaqueta los archivos de la aplicación en su propio directorio privado en el almacenamiento interno, sin ejecutar ningún código proporcionado por la aplicación. Si la aplicación quiere hacer alguna otra configuración (como realizar una comprobación antipiratería o hacer que te registres en un servidor), sólo puede hacerlo cuando ejecutes la aplicación por primera vez.