Меня бы заинтересовал курс "Как с нуля сесть и нарисовать дизайн для приложения имея только навыки кодинга." :)

У вас есть 2 пути:
1. Легальный и логичный:
Заводите свой сервер, прописываете всю работу со сторонним апи там. В случае чего просто меняете логику сервера, обновлять приложение не нужно, связь с ним никак не меняется.
2. Относительно легальный:
Используете DexClassLoader и создаете дополнительный .dex, который содержит логику работу с апи (храните первоначально его в ассетах, затем в папке files (к примеру) в /data/data/packagename, а при необходимости - сами скачиваете новую версию со своего сервера и заменяете исходный.
Почему относительно легальный: Ваше приложение могут забанить в ГП (непонятно что вы можете в следющий раз подсунуть клиенту), ваше приложение скорее всего забанит большинство антивирусов.

Да, можно.
Гуглите accessibility settings если без рута.
С рутом есть другие способы.

Из обсуждения рядом:
Такие трояны есть, например Android.GPLoader.1.origin
Спокойно сам открывает гугл плей, покупает там приложения и скачивает их на телефон без ведома пользователя (понятное дело, если он не смотрит на экран в этот момент)