O fato de um email ter um endereço "De:" do hotmail não significa que ele tenha sido originado no hotmail. A falsificação de um endereço de origem é trivial e é feita rotineiramente por spammers e vírus.
É improvável que um email contendo um vírus conhecido possa atravessar servidores de hotmail.
O fato de o e-mail ter seu endereço De significa que é muito provável que você ou seu amigo tenham um vírus ou algum outro contato mútuo para ambos os seus vírus. Os vírus geralmente vasculham catálogos de endereços para encontrar endereços de e-mail que podem ser usados para enviar De e Para, pois é mais provável que os e-mails infectados sejam abertos se parecerem ser de alguém familiar.
Examinar os cabeçalhos do e-mail infectado deve revelar os endereços IP que o e-mail percorreu no caminho para o seu amigo. Isso pode fornecer pistas sobre quem tem o vírus.