все кажется я понял..
вируса давно уже небыло...
просто CheckedValue"=dword:00000000
был почемуто не дворд, а reg_SZ типа и из-за этого
он брал знаечия из DefaultValue, а там нули...