Te acabas de responder tu mismo. Sí, se puede con payloads y exploits, en el foro se ha hablado de eso.
Con solo buscar "crear payload para android" ya te salen muchos resultados útiles.

Crear PAYLOAD para Android con Metasploit

Edit: Por cierto... aquí no enseñamos a "jakear" cuentas de facebook o espiar WhatsApp.

De todas formas yo te recomiendo primero que estudies MetaSploit.

Manual de Metasploit

Fundamentos de Metasploit
o msfcli
o msfweb
o msfconsole
o Exploits
o Payloads
o Meterpreter

Link: http://ns2.elhacker.net/timofonica/manuales/Manual_de_Metasploit_Unleashed.pdf

Saludos

#R3LI4NT

bueno les agradesco su ayuda gracias a eso estoy explorando nuevos orizontes hoy dia me encuentro usando virtualbox y monte un S.O Kali Linux
navegando por una pagina https://thesecuritysentinel.es/utilizar-metasploit-para-crear-un-payload-ofuscado-y-que-evada-la-deteccion-de-los-antivirus/
cree a mi parecer un payload lo que a mi parecer solo es un fichero algo raro perdon por mi ignorancia pero aun me encuentro en pañales todo bien pero
me surgio otra pregunta y ahora que hago con ese fichero que se crea al final de usar todo eso que te dicen que hagas ¿como lo utilizo? lo envio por mail a la
victima osea a mi mismo lo abro desde mi celular y ya me jodi? o hay algo que estoy muy seguro me perdi de un buen tramo? o ay alguna consola que debo
crearme para dirigirmelo a mi mismo a mi celular desde mi pc o desde otro celular por que no tengo otro celular mas que el mio y mis amigos ni loco quieren
que utilice el de ellos y meta ese archivo que por mi parecer es muy inofencivo algun dato lo que sea me ayudara a seguir explorando desde ya se que les
estoy causando gracia y deben de estar preguntandose ¿es un idiota o un nene? roma no se hizo en un dia y yo digamos estoy creando mi imperio desde
arriba de un arbol con una futura tormenta si lo ven de esa forma y mi unica defenza es ese archivito que cree y parece algo metalico ya se imaginaran no es asi (jajaja).

Hola, creo que lo que quieres conseguir es algo complicado para ti. Deberías entender el Malware y que tipos hay. Porque no es crear un Payload y enviarlo por Wathsapp y ya tendrás control total del teléfono. Para empezar que los teléfonos no instalan y advierten que van a ejecutar una aplicación que no esta firmada digitalmente y que no es de Play Store. Y todo lo que encuentres publico va a ser detectado por todo tipo de cosas, desde gmail asta el Play Store. Yo, la mejor recomendación que te puedo dar es que te estudies como funciona el malware y que tipos hay. Y sobre la marcha iras comprendiendo.

desde ya muchisimas gracias por toda la informacion brindada desde ahora tendre que esforzarme mas en aprender nuevos lenguajes de programacion