Nie są na niego podatne systemy operacyjne oparte na Windows NT.
CIH infekuje przenośne pliki wykonywalne, dzieląc większość swojego kodu na małe fragmenty, które wstawia w luki między sekcjami powszechnie występujące w plikach PE. Wirus zapisuje w niewykorzystanej przestrzeni na końcu nagłówka pliku niewiele ważącą procedurę ponownego złożenia w całość, wraz z tablicą lokalizacji własnych fragmentów kodu. Dzięki temu CIH zyskał alternatywną nazwę „Spacefiller”. Rozmiar wirusa to około 1 kB. Ponieważ infekuje on tekst pomiędzy pustymi fragmentami w kodzie, jest bardzo trudny do wykrycia przez programy antywirusowe. W celu przechwycenia wywołań systemowych wykorzystuje metody przeskakiwania z pierścieni ochronnych procesora stopnia 3 na 0.
Wirus składa się z dwóch ładunków. Jeden z nich nadpisuje pierwszy megabajt (1024 KB) dysku twardego zerami, zaczynając od sektora 0. Powoduje to usunięcie zawartości tabeli partycji, co może skutkować zawieszeniem się urządzenia lub wyświetleniem niebieskiego ekranu śmierci.