если вирус имеет при себе службу то может дописаться в группу
и стартовать в безопасном режиме.
Как уже говорили выше - все файлы svchost находящиеся вне system32 следует удалить.
Если тебя терзают сомнения - то ли ты удаляешь то смотри в свойства файла вкладку версия а там кто производитель.