дурдом... большое спасибо за подсказку... сейчас попробую сделать allowInsecureDomain и xml'ку положить. Наверное проблема действительно в этом. а картинки - одна поверх другой - это нормально - однка картинка, которая загрузилась, а вторая - это после draw().
Так, если я правильно понял, то выглядить это должно примерно так:

Код:
System.security.allowInsecureDomain("www.kalacheevsky.ru");
и так:

Код:
<?xml version="1.0"?>
<cross-domain-policy>
<allow-access-from domain="www.kalacheevsky.ru" />
</cross-domain-policy>
System.security.allowInsecureDomain как и System.security.allowDomain работате только для swf файлов и никакого отношения не имеет к картинкам и draw-функции. Т.е. allowDomain пишется внутри флэшки, которую пытаются загрузить с другого сайта.
В общем я пока ничего не пойму... не работает ни с allowDomain, ни с <allow-access-from domain="*" />
все, разобрался, всем большое спасибо. Итак, чтобы все работало надо в явном виде прописать во флэшке:

Код:
System.security.loadPolicyFile("http://some_domain.ru/crossdomain.xml");
где some_domain.ru -то, откуда мы собираемся брать информацию. В хэлпе написано, что флэш это все сам делает - ничего он сам не делает.
А на some_domain.ru должен быть crossdomain.xml сделующего содержания:

Код:
<?xml version="1.0"?>
<cross-domain-policy>
<allow-access-from domain="www.other_domain.ru" />
</cross-domain-policy>
other_domain.ru - тот, кто пытается получить информацию.