是LSASS.EXE

不過你的問題我還找不到可以解決的答案
若你還能開機上網，建議你先把windows update的patches先更新好

--
剛查了一下，因為你給的資訊只有「終點格式不正確」
你朋友可以試試看使用安全模式進去winxp內，然後搜尋*_up.exe

以下是我在mcafee看到的資料

Copies of the worm are created in the Windows System directory
as #_up.exe

Examples
c:\WINDOWS\system32\11583_up.exe
c:\WINDOWS\system32\16913_up.exe
c:\WINDOWS\system32\29739_up.exe

這是sasser病毒的徵兆，如果你朋友電腦沒有找到這些檔案，也沒有出現60關機的訊息..
我還要找找