Можно не заметить и по другой причине: оригинальный svchost живет в system32 (плюс копия в dllcache), но никто не мешает положить одноимённый файл в другой каталог.