Понятия неимею что там было, но из твоего поста понятно что он подменял файл с настройками... 99% что он просто заменял сервер для конекта на свой таким образом пропуская траф через себя как прокси, чем это чревато можеш сам догадаться