Немного подробностей:

• Max отправляет на сервера VK инфу о всех скачанных приложениях.
• MAX следит за VPN — приложение проверяет наличие VPN-соединения и по команде сервера может полностью заблокировать вам доступ к чатам и мини-аппам, пока вы его не выключите.
• Полный трекинг адресной книги — в реальном времени следит за изменениями контактов, отправляет серверу размер вашей телефонной книги и собирает хеши номеров даже тех людей, которые в мессенджере не зарегистрированы.
• Обход Google Play и Force Update — сервер может заблокировать работу текущей версии приложения и принудительно установить апдейт со своего CDN, причем в коде заложена возможность ставить APK в обход системы.
• Управление NFC-чипом из мини-аппов — любое внутреннее мини-приложение может без предупреждения передать на NFC-терминал свой кастомный payload: например, имитировать пропуск или карту.
• Может делать фейковые чаты.
• Удаление сообщений — приложение может стереть сообщение прямо из локальной базы данных на вашем телефоне без следа, 
• Может незаметно запросить ваши координаты.
• Скрытый SDK деанонимизации— мессенджер собирает реальные IP-адреса в обход VPN.
• Запись звука — тайно записывает сырой звук с микрофона во время звонков и заливает его в аналитику.

Короче, телефон, на котором когда-то был установлен Max, желательно сжечь и останки похоронить подальше от мест, где живут люди.