Откуда появился спам в коде и как его удалить?

В тех поддержке ответили:

Эта проблема может быть связана с зараженными браузерами посетителей.
Яндекс метрика записывает адреса на которые заходили посетители.
Это не означает что сам сайт содержит вредоносный код.