Как-то немного нагло с их стороны или они получили особые права от Google
Они так делают как минимум на самсунгах с предустановками. Если твое приложение установлено как системное и ему выдано определенное разрешение, ты можешь устанавливать апкшки (не особо удивительно, да).
Они предустанавливают этот App Manager и приложение заглушку, которое ничего не делает, и при первом запуске оно запускает сразу App Manager, который говорит обновится, скачивает апк и обновляет основное приложение FB и запускает его. И в дальнейшем периодически самовольно обновляет приложение FB.
Гугл тут не при чем, только договор с вендором.
Пермишен собственно android.permission.INSTALL_PACKAGES, у него вроде protectionLevel=system