Con el privilegio de root, una aplicación de malware puede hacer un gran daño, pero no funciona así.
Sólo porque una aplicación esté en un dispositivo rooteado, no significa que obtenga el privilegio de root automáticamente. Con los estándares del rooting modernos, tendrás que permitirlo. Cuando una aplicación solicita el acceso a Root, aparece una ventana emergente de la aplicación SuperUser o SuperSU pidiendo que se le permita o no. Si no sabes mucho sobre la aplicación, simplemente bloquea el acceso. Si no prestas atención a esto, mereces experimentar cosas malas.
Actualizar:
Como última línea de defensa, me gustaría añadir que nadie sabe desde dónde pueden explotar las aplicaciones de malware una laguna jurídica. Los dispositivos no enraizados son seguros, pero hay aplicaciones que son capaces incluso de rootear un dispositivo desde el interior (Había una aplicación de propósito positivo llamada Root Exploit
en Google Market que luego fue expulsado por Google). Así que, si quieres estar seguro, no instales aplicaciones desconocidas. Y, si es posible, usa sólo Play Store. Estas sugerencias son independientes de si tu dispositivo está o no rooteado.