«Это даже не вирус!»: новая атака на npm оказалась коварнее, чем предполагалось