Se o Android é baseado no Linux e é de código aberto, então por que ele tem malware e vírus?

Sendo de código aberto e baseado no Linux não o protege de malware.

Realmente, o Linux está a fazer pior em termos de malware porque se algum for feito, basicamente não há nenhum programa antivírus para o proteger.

No Windows, você faz o download de alguns executáveis infectados. O mesmo acontece com o Linux. Você o executa. Pode ser um ransomware que não requer acesso de administrador, ou pode ser outra coisa que requer. Ele pedirá root no Linux e usuários com a mesma atitude do Windows simplesmente... concederá root.

Windows entretanto tem antimalware, o que detecta e impede a maioria dos softwares maliciosos de rodar. O Linux não tem, embora eu espere que no futuro, quando o malware do Linux começar a proliferar, o antimalware comece a ser feito também para o Linux.

Existe menos malware no Linux porque normalmente você só baixa software de fontes oficiais (ajuda que as fontes oficiais tenham quase todos os programas de software que você vai precisar). É por isso que o Windows está a tentar promover a sua Loja, para que eventualmente atinja a paridade em termos de segurança. O Windows 10 S é o Windows onde você só pode instalar programas da única fonte oficial, a Loja da Microsoft. Isso é segurança máxima realmente.

No Android, se você instalar apenas coisas da loja Play, você geralmente não recebe muito malware. A maioria dos malwares (e todos os tipos mais sérios) vem de fora da loja. A Loja contém, no máximo, coisas que apenas alguns vão considerar malware, como spyware sutil ou adware.

A essência da minha resposta é: Instalar a partir de terceiros em vez das fontes oficiais é como você obtém (a maioria) malware. Isso aplica-se ao Windows, isso aplica-se ao Android, isso aplica-se ao Linux, isso aplica-se ao macOS.