дело в том, что запуск браузера в фоновом режиме происходит не от админа, а от гостя.
инфицируются процесс- explorer.exe, добавляется парочка библиотек в системные папки, а все файлы, с помощью которых вирус потом восстанавливается, сидят в папке Temp.
Удаление этой ветки из реестра не помогло(

хотелось-бы ручками почистить все..