Armenië heeft een Russische toerist met de naam vastgehouden Aleksandr Ermakov sinds 28 juni in een detentiecentrum vanwege een Amerikaans uitleveringsverzoek voor a REvil ransomwareverdachte genaamd Aleksandr Ermakov.
Zijn vrouw, Maria Yurova, vertelde REN TV dat grensagenten hem uit de vertrekhal op de luchthaven Zvartnots in Yerevan hadden gehaald, een telefoon omhoog hielden met een foto van hem van zijn VKontakte-pagina en hem naar een zijkamer hadden geleid. Zijn advocaten zeggen dat Washington de verkeerde man heeft.
De Ermakov die de VS willen is Aleksandr Gennadievitsj Ermakovdat in januari 2024 door Australië, de VS en het Verenigd Koninkrijk werd bestraft wegens het stelen van 9,7 miljoen platen van Medibank Privéeen van de grootste particuliere zorgverzekeraars van Australië, en dumpt er een aantal op het dark web.
Hij zit ook een Russische straf van twee jaar uit die hem verbiedt het land te verlaten, aldus TASS en dossiers die twee Russische media zeggen te hebben gelezen. De man in de Armeense cel, zeggen zijn advocaten, wel Aleksandr Joerievitsj Ermakovuit Omsk, een voormalig gevangenisadvocaat die geen Engels spreekt.
Ermakov wordt ervan beschuldigd deel te hebben genomen aan Sodinokibi/REvil-aanvallen van ongeveer april 2019 tot 12 juli 2021, waarbij meer dan 1.000 slachtoffers vielen onder particuliere bedrijven, wetshandhavers, overheidsgebouwen, scholen en ziekenhuizen, waarvan sommige in het noordelijke district van Texas.
Dat komt uit het Amerikaanse aanklachtdocument, waarvan RIA Novosti zegt dat het in bezit is. Het daarop gebaseerde bericht van Interpol, waarvan Izvestia zegt dat het dat heeft gedaan, gaat nog verder: een van de beheerders van het platform, met een opbrengst van ruim 13,7 miljoen dollar. Channel Five dateert het bevel naar de federale rechtbank van dat district, op 26 juni, twee dagen vóór de arrestatie.
Medibank werd in oktober 2022 gehackt, vijftien maanden nadat dat venster was gesloten, en de VS hebben er nooit een aanklacht over ingediend tegen Ermakov. De benoeming van Treasury plaatste hem op de rand van REvil, een acteur die “vermoedelijk verbonden was” met de bende. De mededeling plaatst hem in het middelpunt. Die rechtbank heeft REvil eerder gezien: DOJ heeft Yevgeniy Polyanin daar in 2021 aangeklaagd wegens Sodinokibi/REvil-aanvallen op bedrijven en overheidsinstanties in Texas op of rond 16 augustus 2019.
Russische paspoorten dragen een patroniem, en het is het veld dat de ene Aleksandr Ermakov van de andere onderscheidt. De geconsolideerde lijst van Australië vermeldt het: Aleksandr Gennadievich Ermakov, geboren op 16 mei 1990. De inzending van Groot-Brittannië vermeldt het. OFAC doet dat niet.
Het SDN-record loopt: ERMAKOV, Aleksandr, Moskou, geboren op 16 mei 1990, man, één Yandex-adres, vier handvatten (blade_runner, GistaveDore, GustaveDore, JimJones). Voornaam, achternaam, niets daar tussenin. Wat het Interpol-bericht zelf bevat, is niet openbaar.
Dylan Rajavi, een van de advocaten van de gedetineerde, vertelde Izvestia dat de werktheorie van de verdediging is dat het Amerikaanse papierwerk een voornaam en een achternaam bevatte, niet meer, en dat een geautomatiseerde controle de rest deed. Hij zei ook dat er standaardmanieren zijn om vast te stellen wie iemand is, vingerafdrukken of volledige paspoortgegevens, en dat geen van beide is geproduceerd.
‘Er is alleen een arrestatiebevel’, zei hij. Dat is het verhaal van de verdediging, geen bevinding.
De Armeense autoriteiten hebben niets gezegd, het ministerie van Justitie heeft geen aanklacht aangekondigd, en geen van de Russische media die de documenten in bezit heeft, zegt hoe het daaraan is gekomen. Er zijn ook niet zoveel kanalen als ze lijken: Izvestia, REN TV en Channel Five vallen allemaal onder de National Media Group, en de redactiekamer van Izvestia verzorgt sinds 2017 het nieuws voor de andere twee. De man wordt vastgehouden op basis van een detentiebevel van Interpol van dertig dagen, terwijl Moskou Yerevan om consulaire toegang vraagt.
Waar de naam vandaan komt
Het Australische signaaldirectoraat en de federale politie hebben achttien maanden aan Operatie Aquila besteed voordat ze hem bij naam noemden. En de keten van de gesanctioneerde Ermakov naar SugarLocker loopt niet via de Russische staatsmedia.
Toen Australië de bijnamen publiceerde, ging Intel 471 terug door jaren van verzamelde forumgegevens. SHTAZI en shtaziIT behoorden tot de handvatten van Ermakov, zo meldde het, en zijn alias JimJones had 2019 en 2020 op het Exploit-forum doorgebracht om de ontwikkeling van malware en een dev-shop genaamd Shtazi-IT te promoten.
Een maand later zei de Russische politie dat ze de SugarLocker-ransomware team dat achter Shtazi-IT opereert, met @GustaveDore in het contactveld van de vacatures voor ontwikkelaars. Een Amerikaanse verkoper en het Russische ministerie van Binnenlandse Zaken bereikten dezelfde winkelpui van verschillende kanten.
In oktober 2024 gaf een rechtbank in Moskou Ermakov twee jaar vrijheidsbeperking op grond van artikel 273, lid 2, het Russische malwarestatuut, omdat hij meewerkte aan het schrijven van SugarLocker en het verkocht aan een koper met een Tor-controlepaneel eraan bevestigd.
Uit het door Izvestia gezien materiaal blijkt dat hij schuldig heeft gepleit, en dat de zaak via de Russische summiere procedure liep. “Ermakov werd veroordeeld tot twee jaar vrijheidsbeperking”, vertelde een wetshandhavingsbron donderdag aan staatsagentschap TASS. De termijn is nog niet afgelopen.
De Armeense rechtbank moet nog beslissen of de andere Ermakov op een vliegtuig naar Dallas moet worden gezet, en zijn broer vertelde vrijdag aan RIA dat de familie verwacht dat het doorgaat. Twee en een half jaar sancties, een achttien maanden durende inlichtingenoperatie en een nieuw Amerikaans arrestatiebevel hebben er samen voor gezorgd dat precies één Aleksandr Ermakov in een cel terecht is gekomen, en zijn advocaten zeggen dat dit de verkeerde is.
De naam van het Ermakov-bevel ligt thuis en rapporteert één keer per maand aan de gevangenisdienst waar de man in de cel zijn hele carrière voor heeft gewerkt.
