Шесть тайпсквотов Angular в npm с postinstall-хуком удалены

5 октября GitHub Advisory Database признала вредоносными шесть npm-пакетов с именами, отличающимися на одну опечатку от @angular/core и @angular/cli. Все они заявляли версию 22.2.1 и содержали postinstall-хук, скачивающий скрипт с gitflic.ru через прокси web.archive.org. Пакеты удалены из npm.

• Шесть пакетов: @angupar/core, @anngular/core, @abgular/core, @anfular/core, @anguar/core, @angulaar/cli
• Все заявляли версию 22.2.1 — актуальную версию настоящего @angular/core
• Postinstall-хук скачивал скрипт с gitflic.ru через web.archive.org в обход фильтров
• @anguar/core прожил около пяти часов: создан 4 октября, снят 5 октября