Если предположить, что атрибуты всегда отображаются в одном и том же порядке:
search: (\s+)created_by="[^"]+"(\s+state="[^"]+")\s+creation_date="[^"]+"
replace: $1modified_by="30"$2
Если вам нужно указать имя элемента,Вы можете добавить это в начало регулярного выражения:
(<user(?:\s+\w+="[^"]+")+?)
... и изменить ссылки группы захвата в замене следующим образом:
$1$2modified_by="30"$3