@Lukenski Tak jak napisał @PrzemekM, w wypadku podejrzenia działania złośliwych aplikacji najlepiej wykonać hard reset bez przywracania danych po fakcie. Wspomniałeś jednak, że robiłeś już hardreset, to był reset z poziomu ustawień czy trybu recovery? Rzeczy które opisałeś brzmią też trochę jak synchronizacja z jakimś kontem, Google chyba oferowało przenoszenie SMSow do chmury i usuwanie starszych. Sprawdź też, jakie konta masz podłączone do telefonu.
@Lukenski profesjonalny program czy nie, żeby przeżyć hardreset musiałby to być rootkit, a tego typu złośliwego oprogramowania na telefony nie jest dużo i też trzeba się postarać, żeby komuś go zaimplementować w systemie.
Co do hardresetu, warto byłoby zrobić go z poziomu recovery. Ten reset od tego z ustawień nie różni się dużo, głównie chodzi o czujniki w telefonie, ale jeśli mamy opcję zrobić reset który czyści z czegoś bardziej nawet w taki sposób, to nie zaszkodzi spróbować, tym bardziej, że nie jest to nie wiadomo jak skomplikowana operacja.
Jeżeli Twój telefon ma Androida 11, wejść w tryb Recovery możesz w sposób opisany przez @kamil40013 w tym poradniku: https://eu.community.samsung.com/t5/pozosta%C5%82e-smartfony/poradnik-android-11-one-ui-3-jak-wej%C5...
Kiedy uda Ci się wejść w ten tryb wybierasz (za pomocą przycisków głośności do przemieszczania się po menu oraz zasilania/blokady do zatwierdzania wyboru) opcję Wipe data/factory reset. Zadbaj też o to, żeby telefon był naładowany w trakcie tak do przynajmniej 70-80%, przezorny zawsze ubezpieczony :] Reset chwilę zajmie, potem przerzuci Cię z powrotem do tego menu, wtedy wybieramy Reboot system now.
I na sam koniec: jeżeli po poprzednim resecie przywracałeś wcześniej zapisane ustawienia, pliki i aplikacje, inaczej rzecz nazywając - kopię zapasową, to też może mieć wpływ, ponieważ w kopii zapasowej mogłeś mieć aplikację, która odpowiada za te akcje.
@Lukenski To już w oddzielnym komentarzu, bo teraz skupię się bardziej na moich teoriach co do tego co się dzieje z Twoim telefonem. Wspomniałeś w poście coś o chmurze, więc sprawdziłabym jeszcze ustawienia chmury z której korzystasz, bo z tymi SMSami bardzo mi się kojarzy z robieniem przez chmurę kopii zapasowej SMSów starszych niż jakiś tam okres i usuwania duplikatów. Sprawdziłabym też w zakładce "Konta" w ustawieniach czy nie ma tam nic podejrzanego, na koniec sprawdziłabym też w swoich kontach historię logowania, bo może to nie jest kwestia nieuprawnionego dostępu jakiejś aplikacji do Twojego telefonu, tylko nieuprawnionej osoby do Twojego konta np. Google.
@Lukenski Rozumiem, że sprawdzenie otwartych portów pod kątem tego, jakie porty są otwarte, przez jakie aplikacje i jaki jest "ruch" na tych portach, tak? Sprawdzić zawsze można, chociaż przyznam, że nigdy nie sprawdzałam tego z poziomu smartfona (czy generalnie z jakiegokolwiek innego urządzenia niż PC) i jak dokładnie rejestruje on aplikacje i procesy.
Właściwie to dlaczego by nie zrobić tego z czystej ciekawości, ale wydaje mi się, że to może być mozolny proces. Dla przykładu weźmy sprawdzanie otwartych portów przez program na PC, i dostajemy wykaz, że z portu korzysta svchost; wiem, że jest to proces systemowy i nie muszę tego sprawdzać. Na telefonie musiałabym posprawdzać zdecydowaną większość (o ile nie wszystkie) procesy, bo nie jestem z nimi zaznajomiona. Z tego powodu na Twoim miejscu na początku sprawdziłabym hard reset.
@Lukenski Miałam sugerować test polegający na wyłączeniu internetu na jakiś okres, ale widzę, że zawarłeś to w poście. Czy masz możliwość przełożyć sobie kartę SIM do innego telefonu na jakiś czas? Wydaje się, że nie powinno to mieć nic wspólnego z tą sytuacją, ale jeżeli dostałeś powiadomienie od operatora o wykorzystanym internecie pomimo wyłączenia dostępu do sieci, jestem ciekawa co by się stało w takim wypadku.
no może nie tak dokładne sprawdzenie jak opisujesz ... lecz wogole jakie porty ma localhost otwarte .. kiedyś na iphonie zrobiłem taki test i okazało się że były otwarte porty jakiegoś malware .. ale szczerze nie znam się na tyle żeby o tym pisać szczegółowo . A tak BTW @JustynaM nie na codzień można tak obtrzaskaną kobietę spotkać, która wie co to znaczy skanowanie portów etc 
