Armenien hält Russen auf US-Ersuchen fest – Anwälte sprechen von Verwechslung im REvil-Fall

Nach Angaben der Quelle wird der Festgehaltene auf Grundlage einer 30-tägigen Interpol-Anordnung in Armenien festgehalten, während Moskau konsularischen Zugang in Jerewan verlangt. Channel Five datiert den Haftbefehl des Bundesgerichts im Northern District of Texas auf den 26. Juni, also zwei Tage vor der Festnahme. RIA Novosti berichtet, die US-Anklageschrift liege der Redaktion vor; Izvestia erhebt denselben Anspruch für die Interpol-Mitteilung.

Dem US-Dokument zufolge soll Aleksandr Ermakov zwischen etwa April 2019 und dem 12. Juli 2021 an Angriffen von Sodinokibi/REvil beteiligt gewesen sein. Genannt werden mehr als 1.000 Opfer aus Privatwirtschaft, Strafverfolgung, Behörden, Schulen und Krankenhäusern, darunter auch Einrichtungen im Northern District of Texas. Laut Izvestia geht die Interpol-Mitteilung noch weiter und beschreibt ihn als einen der Administratoren der Plattform mit Einnahmen von mehr als 13,7 Millionen US-Dollar.

Die Verteidigung bestreitet jedoch, dass der in Armenien Inhaftierte diese Person ist. Anwalt Dylan Rajavi sagte Izvestia, die Arbeitsthese der Verteidigung laute, dass die US-Unterlagen lediglich Vor- und Nachnamen enthielten und eine automatisierte Prüfung den Rest ergänzt habe. Rajavi erklärte außerdem, übliche Mittel zur eindeutigen Identifizierung seien Fingerabdrücke oder vollständige Passdaten; beides sei bislang nicht vorgelegt worden. „Es gibt nur einen Haftbefehl“, sagte er. Der Quelltext weist ausdrücklich darauf hin, dass dies die Darstellung der Verteidigung ist und keine behördliche Feststellung.

Im Zentrum der Unterscheidung steht das Patronym im russischen Namen. Der von den USA gesuchte Mann ist laut Quelle Aleksandr Gennadievich Ermakov. Australien, die USA und Großbritannien belegten ihn im Januar 2024 mit Sanktionen, weil er 9,7 Millionen Datensätze von Medibank Private, einem der größten privaten Krankenversicherer Australiens, gestohlen und einen Teil davon im Darknet veröffentlicht haben soll. Australiens konsolidierte Sanktionsliste nennt sein Patronym und sein Geburtsdatum, den 16. Mai 1990. Auch der britische Eintrag enthält das Patronym. Im OFAC-Eintrag fehlt es dagegen.

Der SDN-Datensatz führt nach Angaben der Quelle „ERMAKOV, Aleksandr“, Wohnort Moskau, Geburtsdatum 16. Mai 1990, ein Yandex-Konto und vier Pseudonyme: blade_runner, GistaveDore, GustaveDore und JimJones. Was die Interpol-Mitteilung selbst an Identifikationsmerkmalen enthält, ist nicht öffentlich.

Der Text verweist zudem auf Widersprüche zwischen verschiedenen öffentlichen Zuschreibungen. Medibank wurde im Oktober 2022 gehackt, also 15 Monate nach dem Zeitraum, den die US-Anklage für REvil-Aktivitäten nennt. Die USA haben laut Quelle nie eine Anklage gegen Ermakov wegen des Medibank-Falls bekanntgegeben. Das US-Finanzministerium ordnete ihn in seiner Sanktionsentscheidung dem Rand des REvil-Umfelds zu und bezeichnete ihn als Akteur, der „vermutlich mit“ der Gruppe verbunden sei. Die Interpol-Mitteilung stelle ihn dagegen in den Mittelpunkt der Plattform.

Zur Spur nach Russland nennt der Text mehrere Quellen. Australiens Signalaufklärung und die Bundespolizei arbeiteten demnach 18 Monate an der Operation Aquila, bevor sie Ermakov benannten. Danach wertete Intel 471 ältere Forendaten aus und berichtete, SHTAZI und shtaziIT hätten zu seinen Pseudonymen gehört. Das Alias JimJones habe 2019 und 2020 im Exploit-Forum Malware-Entwicklung und ein Entwicklergeschäft namens Shtazi-IT beworben.

Einen Monat später, so der Quelltext, erklärte die russische Polizei, sie habe die SugarLocker-Ransomware-Gruppe ausgehoben, die hinter Shtazi-IT operiert habe; in Stellenanzeigen für Entwickler habe @GustaveDore im Kontaktfeld gestanden. Im Oktober 2024 verurteilte ein Moskauer Gericht Ermakov nach Artikel 273 Absatz 2 des russischen Malware-Gesetzes zu zwei Jahren Freiheitsbeschränkung, weil er SugarLocker mitgeschrieben und an einen Käufer mitsamt Tor-Kontrollpanel verkauft habe. Izvestia zufolge bekannte er sich schuldig, und das Verfahren lief im beschleunigten Modus. TASS zitierte am Donnerstag eine Strafverfolgungsquelle mit den Worten, Ermakov sei zu „zwei Jahren Freiheitsbeschränkung“ verurteilt worden. Diese Frist sei noch nicht abgelaufen.

Gerade deshalb wirkt die Verwechslungsthese für die Verteidigung plausibel: Der gesuchte Ermakov dürfe Russland wegen dieser Strafe gar nicht verlassen, während in Armenien ein anderer Mann in einer Zelle sitzt. Das armenische Gericht muss nun entscheiden, ob dieser Ermakov nach Dallas ausgeflogen wird. Sein Bruder sagte RIA am Freitag, die Familie rechne damit, dass es dazu komme.