Как-то попросил товарищ почистить его сайт, который ломанули. В-первую очередь слил к себе сайт и сделал дамп базы, а потом тоталом прошелся по файлам в поиске содержимого типа iframe, javascript. А потом вычистил, что не нравилось. В твоем случае стоит поискать название домена, ссылку на который ты обнаружил.
Не забывай порыться в дампе базы, т.к. там иногда текст хранится, который на сайт вставляется.