Encontrar y eliminar malware en un movil intervenido fisicamente

[Brickdeleche]

Hola, soy nuevo en el foro. Asi que en primer lugar me presento: E!

Algunos conocidos mios se vieron obligados a dejar sus telefonos moviles (android todos) a cargo de terceras personas. Tenemos serias sospechas de que estas personas intervinieron los moviles de mis conocidos:
-Los moviles tenian diferentes niveles de carga al entregarlos y al recogerlos (la bateria habia sido usada, y en algun caso el movil habia sido cargado)
-Desde entonces, desaparecen conversaciones de whatsapp que mantienen mis conocidos entre ellos.
-Cuando se hacen llamadas entre ellos, aveces se oyen terceras personas en la llamada, sospechan que pueden estar escuchando sus llamadas.

Esta es la informacion que me dieron. No, mis conocidos no son idiotas y van dejando el movil al primer hacker que pasa, es algo mas complejo y ahora no viene al caso la historia.

Les quiero echar una mano, mirando aver si puedo revertir los canvios que hicieron en sus telefonos. No se si habran instalado una app que va pasando informacion a las personas que intervinieron los moviles, si han habilitado algun tipo de acceso remoto al telefono para poder seguir accediendo sin acceso fisico a este...
Mis preguntas, para tener una base sobre la que ir aprendiendo a arreglar estos problemas son:
-Como analizo los terminales de mis conocidos? A través del terminal mismo usando apps de seguridad, a traves de otra terminal, a traves de un ordenador con kalilinux o similar?
-Que aplicaciones/programas son utiles para encontrar malware en un movil o si alguien esta accediendo remotamente a este? Ah, i que aplicaciones/programas son utiles para eliminar el malware y denegar accesos remotos?
-Se puede saber que informacion/archivos del terminal esta siendo consultada o eliminada por terceras personas?
-Recomendais alguna app o programa para analisis forense de android y poder recuperar sus conversaciones eliminadas?
-Se puede saber quien esta hurgando en los terminales de mis conocidos? No pido nombre y apellido jajaja, sino si se puede saber a que servidor o red van los posibles datos extraidos o consultados. En caso que se pueda conocer la red, se podria saber a que persona o empresa esta asociada dicha red?

Muchas gracias. Estuve buscando por este foro y no encontre ningun post donde se haya tratado este asunto, asi que espero no estar repitiendo preguntas que ya fueron contestadas. Si veis que alguna pregunta no esta bien formulada, comentadmelo, porque alomejor parace que no tengo ni idea y es porque efectivamente tengo poca idea.

Saludos