>>418-419
Androidアプリには「署名」という概念があって、開発者本人の署名で署名されているアプリは、第三者によって改変されていないということが保証されている
だからあるアプリの旧バージョンのAPKを野良で探して落とす場合は、ストアから落とした公式の最新版アプリのAPKの署名と比較して署名が一致していれば、その野良APKは改竄されていないことを確認できる

VirusTotalにかけるのは意味ないと思うよ
あそこは誤検知多いし、逆に何か仕込まれてたとしてもそれがウイルススキャンに引っかかるという根拠もない