2. Linkte dosya hash'i vardı ve örneği başka yerde buldular

VirusTotal raporunda:

• SHA256
• MD5
• SHA1

gibi hash değerleri bulunur.
Dosya daha önce başka platformlarda paylaşılmışsa hash üzerinden bulunabilir.

3. Seni kandırıp dosyayı zaten önceden almış olabilirler

Telegram'da:

• ekran paylaşımı
• dosya özellikleri gösterme
• klasör yapısını gösterme

sırasında fark etmediğin bir bilgi sızmış olabilir.

4. Amaçları sadece dosyayı elde etmekti

Dolandırıcıların sık kullandığı yöntemlerden biri:

1. Alıcı gibi davranırlar.
2. Güven oluştururlar.
3. Teknik sorular sorarlar.
4. Dosyanın güvenli olduğunu kanıtlatırlar.
5. Dosyaya erişince kaybolurlar.

Senin anlattığın "oo çok temizmiş", "harika", "linki bize de gönder" kısmı biraz bu davranışa benziyor.

Teknik olarak dosyayı nasıl aldıklarını anlamak için

Şunları bilmem lazım:

• VirusTotal'a dosya mı yükledin, yoksa sadece URL mi tarattın?
• Attığın link şu tarz mıydı:
  • virustotal.com/gui/file/...
  • yoksa
  • virustotal.com/gui/url/...
• Dosya neydi?
  • exe
  • zip
  • rar
  • pdf
  • başka bir şey
• Dosyayı Telegram'da hiç gönderdin mi?
• Ekran paylaşımında dosyanın bulunduğu klasör veya bulut depolama adresi göründü mü?

Bunları söylersen hangi yolla erişmiş olabileceklerini teknik açıdan daha net analiz edebilirim. Şu anki bilgilerle en güçlü ihtimal, VT linkini istemelerinin amacı dosyanın hash'ine ve analiz kaydına ulaşmaktı, fakat yalnızca bir VT rapor linkinden normal bir kullanıcının dosyayı doğrudan çekmesi her zaman mümkün değildir. Bu yüzden detay önemli.