Помогите разобрать Java-код и выяснить на какие номера приложение отправляет платные СМС?!

Вообще-то нужно не тупить, а смотреть, какие разрешения просит для себя приложение при установке. И если какой-то сонник просит разрешение на прием, отправку, чтение, написание SMS-сообщений, то надо как минимум задуматься.

Вы собираетесь судить получателя платежа? Не выйдет, невозможно доказать его причастность к распространению вредоносного ПО, получение платежей посредством SMS вполне законно. А является ли ПО вредоносным решать не Вам, этим должны заниматься МВД отдел по компьютерным преступлениям по подозрению в нарушении ст. 273 УК РФ. А поскольку сайт прописан в Румынии, а домен в Панаме потребуется задействовать Интерпол. Аренда сервера вероятно оплачена через систему электронных платежей третей страны в которую внесены через анонимный терминал без камер. И единственный способ поймать злоумышленника, это найти компьютер с которого производилось администрирование сайта(что тоже может оказаться совсем невозможным), сесть в засаду и взять злоумышленника с поличным, во время создания или загрузки на сайт очередного вредоносного ПО. Вы правда уверены, что наша доблестные правоохранители возьмутся распутывать этот клубок? Проще написать жалобу владельцам хостинга/сервера/датацента/регистратору домена, ну и конечно Вы имеете право требовать у оператора сотовой связи  возвращения Ваших средств на счёт. Интернет ужасно анонимен, поэтому доверять тому, кто не удосужился подтвердить свою личность, можно только на свой страх и риск.